Όποιος έχει δουλέψει με coding agent ξέρει το φαινόμενο: κάθε λίγο εμφανίζεται ένα παράθυρο που ζητά έγκριση, και κάποια στιγμή ο χρήστης πατά «ναι» χωρίς να διαβάζει. Η Anthropic λέει ότι το sandbox του Claude Code μείωσε αυτές τις ερωτήσεις κατά 84% στην εσωτερική της χρήση. Το νούμερο είναι δικό της και όχι ανεξάρτητη μέτρηση. Τώρα η εταιρεία δίνει το ίδιο εργαλείο ως ανοιχτό κώδικα, με το όνομα sandbox-runtime (srt), όπως περιγράφει το MarkTechPost.
Ένα sandbox είναι ένας περιφραγμένος χώρος: το πρόγραμμα τρέχει μέσα του και βλέπει μόνο όσα του επιτρέπονται. Το srt βάζει δύο όρια, στα αρχεία και στο δίκτυο, και τα επιβάλλει σε ολόκληρο το δέντρο διεργασιών, δηλαδή και σε scripts και υποδιεργασίες. Δεν χρειάζεται container. Δεν είναι δεμένο με το Claude Code: μπορούν να το χρησιμοποιήσουν δικοί σας agents, τοπικοί MCP servers ή απλά προγράμματα γραμμής εντολών.
Γιατί χρειάζονται και τα δύο όρια
Η Anthropic υποστηρίζει ότι το ένα όριο χωρίς το άλλο δεν αρκεί. Αν λείπει η απομόνωση δικτύου, ένας agent που έπεσε θύμα prompt injection (κρυφές οδηγίες μέσα σε κείμενο που διαβάζει) θα μπορούσε να στείλει έξω κλειδιά SSH. Αν λείπει η απομόνωση αρχείων, θα μπορούσε να ξεφύγει από το sandbox και να αποκτήσει πρόσβαση στο δίκτυο.
Οι προεπιλογές ακολουθούν αυτή τη λογική. Η ανάγνωση επιτρέπεται παντού εκτός από ό,τι απαγορεύεται. Η εγγραφή απαγορεύεται παντού εκτός από ό,τι επιτρέπεται. Το δίκτυο είναι κλειστό, εκτός από τα domains που έχουν μπει σε λίστα αποδεκτών. Κάθε σύνδεση περνά από proxy στο μηχάνημα του χρήστη, που εφαρμόζει τις λίστες.
Τρία λειτουργικά, τρεις μηχανισμοί
- macOS: προφίλ Seatbelt που παράγονται δυναμικά. Απαιτείται μόνο το ripgrep.
- Linux: bubblewrap χωρίς network namespace, μαζί με socat και ripgrep.
- Windows: ειδικός λογαριασμός srt-sandbox και φραγή εξόδου μέσω Windows Filtering Platform. Η υποστήριξη είναι ακόμη alpha.
Το πακέτο npm @anthropic-ai/sandbox-runtime (έκδοση 0.0.81, άδεια Apache-2.0, Node.js 22.12 ή νεότερο) εγκαθίσταται με μία εντολή και λειτουργεί ως CLI και ως βιβλιοθήκη TypeScript. Για έναν MCP server αρκεί να αλλάξει η εντολή στο .mcp.json από npx σε srt. Οι κανόνες μπαίνουν στο αρχείο ~/.srt-settings.json. Η ίδια η Anthropic το χαρακτηρίζει ακόμη beta research preview.
Η δύσκολη ισορροπία της λίστας
Οι coding agents δεν επεξεργάζονται μόνο αρχεία. Εγκαθιστούν εξαρτήσεις, κατεβάζουν τεκμηρίωση, καλούν API. Αν η λίστα επιτρεπτών domains είναι πολύ αυστηρή, χαλάει ακόμη και το npm install. Αν είναι πολύ χαλαρή, το sandbox προστατεύει ελάχιστα, και τα ευρεία domains μπορούν να διαρρεύσουν δεδομένα.
Για το ενδιάμεσο το εργαλείο έχει αρκετούς διακόπτες: wildcards όπως *.npmjs.org, callback που αποφασίζει για hosts χωρίς κανόνα, λίστες ανά εντολή, ενημέρωση των λιστών την ώρα που τρέχει μια εντολή και έλεγχο ότι ένα επιτρεπτό όνομα δεν οδηγεί σε loopback ή σε διευθύνσεις μεταδεδομένων cloud. Όταν απορρίπτεται ένα domain, ο agent μπορεί να πάρει και τον λόγο, ώστε να επιλέξει την εγκεκριμένη εναλλακτική, για παράδειγμα ένα HTTPS git remote.
Για το πώς η Anthropic προσπαθεί να χτίσει ασφάλεια γύρω από τον κώδικα, υπάρχει και το Claude Security, που σαρώνει τον κώδικα συνεχώς.
Πηγή: MarkTechPost
