Anthropic lanza sandbox-runtime para encerrar de forma segura a los agentes de IA sin contenedores

Qué puedes hacer con ella

• Un desarrollador podría envolver cualquier agente de IA o programa de línea de comandos con restricciones de sistema de archivos y red, impidiéndole leer archivos no autorizados o acceder a sitios web no aprobados ¹.
• Un desarrollador podría proteger un servidor MCP con sandbox para que solo pueda acceder a un conjunto específico de dominios permitidos y solo leer o escribir carpetas autorizadas ¹.
• Un desarrollador podría ejecutar su propio agente de programación dentro del sandbox, dejándolo trabajar libremente dentro de límites fijos y solo pedir permiso cuando alcance los bordes ¹.

Qué es y cómo funciona

Anthropic ha puesto disponible el código detrás de la herramienta bash sandboxeada de Claude Code como un paquete independiente llamado sandbox-runtime, generalmente abreviado como srt ¹. La herramienta envuelve cualquier proceso — no solo Claude Code — en dos tipos de restricciones al mismo tiempo: decide qué archivos puede leer o escribir un programa, y decide a qué sitios web o servidores puede acceder a través de internet ².

En lugar de iniciar una máquina virtual completa o un contenedor, srt utiliza las propias funciones de seguridad integradas de cada sistema operativo. En macOS se basa en sandbox-exec y perfiles de Seatbelt; en Linux usa bubblewrap con espacios de nombres de red deshabilitados; en Windows el soporte aún está en fase alpha temprana y utiliza una cuenta dedicada de sandbox más reglas de Windows Filtering Platform ¹². Cada restricción se aplica a toda la cadena de procesos, por lo que los scripts hijos y los programas de ayuda se ejecutan dentro de los mismos límites que el comando original .

De forma predeterminada, la herramienta deniega todo: no se escribe en archivos a menos que se permita explícitamente, no se lee de carpetas a menos que se autorice, y no hay acceso a la red a menos que un dominio figure en una lista blanca ¹. El tráfico que sale pasa por servidores proxy HTTP o SOCKS5 ejecutados en el equipo, los cuales revisan esas listas de dominios antes de permitir que las solicitudes pasen .

Por qué importan ambas barreras

Anthropic sostiene que tener solo un tipo de barrera no es suficiente ¹. Un sandbox que bloquee la red pero deje abierto el sistema de archivos podría permitir que un agente comprometido vuelque tus claves SSH en un disco local. Un sandbox que bloquee el disco duro pero deje abierto internet podría permitir que un agente con inyección de instrucciones envíe esas claves a un servidor remoto. El enfoque combinado busca cerrar ambas rutas de escape al mismo tiempo .

Anthropic también informa que el uso interno de la herramienta redujo las solicitudes de autorización de Claude Code en un 84 por ciento ¹. Esa cifra autoinformada apunta a un problema común llamado fatiga de aprobación, donde los desarrolladores se habitúan después de hacer clic en «aprobar» decenas de veces al día y comienzan a decir que sí sin leer lo que realmente están aprobando . Con límites fijos establecidos, un agente puede trabajar libremente dentro del sandbox y solo pide ayuda cuando alcanza los bordes .

Cómo pueden usarlo los desarrolladores

El paquete se instala a través de npm como @anthropic-ai/sandbox-runtime y requiere Node.js 22.12 o posterior ¹. Se distribuye como una herramienta de línea de comandos y como una biblioteca de TypeScript llamada SandboxManager . Para proteger un servidor MCP con sandbox, por ejemplo, cambias el comando en tu archivo de configuración de npx a srt y pasas el comando original como argumentos, luego colocas tus reglas de permiso y denegación en un archivo de configuración en tu carpeta personal . También puedes actualizar las reglas de red mientras un comando ya se está ejecutando, reemplazando con una nueva lista a través de un descriptor de archivo de control .

Anthropic describe el lanzamiento como una vista previa de investigación en fase beta y dice que las API y los formatos de configuración podrían cambiar a medida que el proyecto madure ². El soporte para Windows aún está marcado como alpha ¹. El paquete tiene licencia Apache-2.0 y ocupa aproximadamente 11,4 megabytes al descomprimirse .

Qué tan bueno es

Anthropic informa que el uso interno de la herramienta redujo las solicitudes de autorización de Claude Code en un 84 por ciento, lo que la compañía dice aborda directamente el problema común de la «fatiga de aprobación» de los desarrolladores, donde las personas dejan de leer las solicitudes después de hacer clic en «aprobar» decenas de veces al día ¹. La compañía reconoce que esta es una cifra autoinformada, no un resultado verificado externamente . La herramienta está actualmente etiquetada como una vista previa de investigación en fase beta, y el soporte para Windows sigue en alpha temprana .

Los datos clave

• srt bloquea el acceso a archivos y red mediante funciones integradas del sistema operativo, sin contenedores ni máquinas virtuales
• Anthropic informa una reducción del 84 % en las solicitudes de autorización durante el uso interno de Claude Code
• El soporte para Windows aún está en alpha; por lo demás, la herramienta es una vista previa de investigación en fase beta
• El paquete de npm tiene licencia Apache-2.0, ocupa aproximadamente 11,4 MB y requiere Node.js 22.12+

Fuentes

1. Meet Anthropic’s sandbox-runtime: OS-Level Sandboxing for AI Agents, No Containers — marktechpost.com
2. GitHub - anthropics/sandbox-runtime: A lightweight sandboxing tool for enforcing filesystem and network restrictions on