Суть инновации: изоляция без контейнеров
Anthropic выпустила пакет @anthropic-ai/sandbox-runtime (версия 0.0.81, лицензия Apache-2.0, размер ~11.4 МБ). В отличие от традиционных решений, srt не использует виртуальные машины или контейнеры. Вместо этого он применяет нативные примитивы изоляции операционной системы для ограничения доступа процесса к файловой системе и сети. Инструмент работает как CLI-команда (srt) и как TypeScript-библиотека, поддерживая запуск любых процессов, включая локальные MCP-серверы и пользовательские агенты.
Техническая реализация по ОС
Механизм изоляции адаптируется под конкретную операционную систему, обеспечивая безопасность на уровне ядра:
- macOS: Использует
sandbox-execс динамически генерируемыми профилями Seatbelt. Требует только наличиеripgrep. - Linux: Применяет
bubblewrapс удаленным сетевым пространством имен. Необходимыsocatиripgrep. - Windows (Alpha): Использует выделенную учетную запись
srt-sandbox, платформу фильтрации Windows (WFP) для контроля исходящего трафика и явные списки контроля доступа (ACL) к файлам.
Сравнение с конкурентами
srt выделяется отсутствием необходимости в тяжелых контейнерных решениях. Ниже приведено сравнение ключевых характеристик:
| Характеристика | Anthropic sandbox-runtime | OpenAI Codex CLI | Docker Sandboxes | E2B |
|---|---|---|---|---|
| Изоляция | OS-примитивы (Seatbelt, bubblewrap) | OS-примитивы | MicroVM (Firecracker) | Managed MicroVM |
| Где запускается | Локальная машина | Локальная машина | Локальная машина | Облако / BYOC |
| Нужен контейнер/VM? | Нет | Нет | Да | Да |
| Использование вне своего агента | Да (CLI + Library) | Только Codex | Да (sbx CLI) | Да (SDK) |
| Лицензия | Apache-2.0 | Apache-2.0 | Не раскрыта | Apache-2.0 |
Почему это важно: борьба с «усталостью от согласований»
Главная метрика успеха — снижение количества запросов на подтверждение действий (permission prompts) на 84% во внутреннем использовании Claude Code. Это решает проблему «усталости от согласований», когда разработчики перестают внимательно читать, что именно разрешают агенту. Песочница задает жесткие границы: чтение разрешено везде, кроме запрещенных зон; запись запрещена везде, кроме разрешенных; сеть отключена по умолчанию, если домен не в allowlist.
Настройка безопасности
Правила хранятся в файле ~/.srt-settings.json. По умолчанию трафик идет только через HTTP/SOCKS5 прокси на хосте, где применяются списки разрешенных/запрещенных доменов. Для гибкости предусмотрены wildcards (например, *.npmjs.org), callback-механизмы для запроса прав у модели и возможность обновления списков в реальном времени через --control-fd.
Источник: MarkTechPost ↗