Sandbox Runtime は、Anthropic が パーミッションプロンプトを超えて：Claude Code をより安全かつ自律的にする で紹介した、エージェントやその他のプロセスのためのサンドボックスである。コンテナを起動・管理するオーバーヘッドなしに、エージェントがアクセスできるディレクトリとネットワークホストをユーザーが厳密に定義できる。ベータ版としてリサーチプレビューの形で公開されており、オープンソースのリサーチプレビューとしても入手できる。
Claude Code は bash ツールのサンドボックス化にこれを使っており、Claude はユーザーが設定した制限の範囲内で、パーミッションプロンプトなしにコマンドを実行できる。このランタイムは、任意のプロセス、エージェント、MCP サーバーのサンドボックス化にも使うことができる。
機能
このランタイムは、Linux の bubblewrap と macOS の seatbelt を基盤として、オペレーティングシステムのレベルで制限を強制する。制限は、ランタイムが起動するプロセスだけでなく、そのプロセスが生成するあらゆるスクリプト、プログラム、サブプロセスにも適用される。Claude Code の bash ツール向けに設定された状態では、2 つの境界を強制する。
- ファイルシステムの分離 — 現在の作業ディレクトリへの読み取りと書き込みのアクセスを許可し、その外側にあるファイルの変更はすべてブロックする。
- ネットワークの分離 — インターネットへのアクセスを、サンドボックスの外部で動作するプロキシサーバーに接続された Unix ドメインソケット経由に限定する。プロキシは、プロセスが接続できるドメインを制限し、新たに要求されたドメインについてはユーザーの確認を処理する。また、送信トラフィックに任意のルールを強制するようカスタマイズすることもできる。
どちらの境界も設定可能であり、特定のファイルパスやドメインを許可または禁止できる。サンドボックス化されたコマンドがサンドボックス外のものにアクセスしようとすると、ユーザーには即座に通知され、それを許可するかどうかを選択できる。Claude Code では /sandbox コマンドで起動する。
採用とエコシステム
Anthropic は、社内での利用において、このように Claude Code をサンドボックス化したことでパーミッションプロンプトが 84% 減少したと報告している。Anthropic は他のチームがより安全なエージェントを構築できるようにこのランタイムをオープンソース化し、他の開発者にも自らのエージェントへの採用を検討するよう勧めている。このランタイムは、この wiki の他のページで論じられている OS レベルの形態の サンドボックス化 を支える具体的な実装である。