Anthropic lancia sandbox-runtime per racchiudere in sicurezza gli agenti AI senza container

Cosa potresti farci

• Uno sviluppatore potrebbe avvolgere qualsiasi agente AI o programma da riga di comando con restrizioni sul filesystem e sulla rete, impedendogli di leggere file non autorizzati o raggiungere siti web non approvati ¹.
• Uno sviluppatore potrebbe mettere in sandbox un server MCP in modo che possa accedere solo a un insieme specifico di domini consentiti e leggere o scrivere solo nelle cartelle permesse ¹.
• Uno sviluppatore potrebbe far girare il proprio agente di programmazione all'interno della sandbox, lasciandolo lavorare liberamente entro confini fissi e chiedendo solo il permesso quando arriva al limite ¹.

Cos'è e come funziona

Anthropic ha reso disponibile il codice dietro lo strumento bash in sandbox di Claude Code come pacchetto autonomo chiamato sandbox-runtime, spesso abbreviato in srt ¹. Lo strumento avvolge qualsiasi processo — non solo Claude Code — con due tipi di restrizioni contemporaneamente: decide quali file un programma può leggere o scrivere, e decide a quali siti web o server può arrivare tramite Internet ².

Piuttosto che avviatre una virtual machine o un container completo, srt usa le funzioni di sicurezza integrate di ciascun sistema operativo. Su macOS si affida a sandbox-exec e ai profili Seatbelt; su Linux usa bubblewrap con i namespace di rete disabilitati; su Windows il supporto è ancora in fase alpha iniziale e usa un account sandbox dedicato più regole della Windows Filtering Platform ¹². Ogni restrizione si applica all'intera catena di processi, quindi script figli e programmi ausiliari girano dentro gli stessi confini del comando originale .

Per impostazione predefinita lo strumento nega tutto: niente scrittura su file se non lo permetti esplicitamente, niente lettura da cartelle se non lo autorizzi, e nessun accesso alla rete a meno che un dominio non appaia in una allowlist ¹. Il traffico che esce passa attraverso proxy HTTP o SOCKS5 in esecuzione sull'host, che controllano quegli elenchi di domini prima di lasciare passare le richieste .

Perché contano entrambe le barriere

Anthropic sostiene che avere solo un tipo di barriera non basta ¹. Una sandbox che blocca la rete ma lascia aperto il filesystem potrebbe permettere a un agente compromesso di svuotare le tue chiavi SSH su un disco locale. Una sandbox che blocca il disco rigido ma lascia aperto Internet potrebbe permettere a un agente soggetto a prompt injection di inviare quelle chiavi a un server remoto. L'approccio combinato serve a chiudere entrambe le vie di fuga contemporaneamente .

Anthropic segnala inoltre che l'uso interno dello strumento ha ridotto gli avvisi di permesso di Claude Code dell'84 percento ¹. Quel numero autocertificato punta a un problema comune chiamato approval fatigue, dove gli sviluppatori si abitueranno dopo aver cliccato "approva" decine di volte al giorno e inizieranno a dire sì senza leggere cosa stanno effettivamente approvando . Con confini fissi stabiliti, un agente può lavorare liberamente all'interno della sandbox e chiede aiuto solo quando arriva al limite .

Come possono usarlo gli sviluppatori

Il pacchetto si installa tramite npm come @anthropic-ai/sandbox-runtime e richiede Node.js 22.12 o successivo ¹. Viene fornito sia come strumento da riga di comando sia come libreria TypeScript chiamata SandboxManager . Per mettere in sandbox un server MCP, ad esempio, cambi il comando nel tuo file di configurazione da npx a srt e passi il comando originale come argomenti, poi inserisci le tue regole di allow e deny in un file di impostazioni nella tua cartella home . Puoi anche aggiornare le regole di rete mentre un comando è già in esecuzione scambiando un nuovo elenco tramite un file descriptor di controllo .

Anthropic descrive il rilascio come una beta research preview e dice che le API e i formati di configurazione potrebbero cambiare man mano che il progetto matura ². Il supporto Windows è ancora marchiato alpha ¹. Il pacchetto è licenziato Apache-2.0 e ha una dimensione di circa 11,4 megabyte una volta estratto .

Quanto è valido

Anthropic segnala che l'uso interno dello strumento ha ridotto gli avvisi di permesso di Claude Code dell'84 percento, il che secondo l'azienda affronta direttamente il problema comune dell'"approval fatigue" degli sviluppatori, dove le persone smettono di leggere i messaggi dopo aver cliccato "approva" decine di volte al giorno ¹. La società riconosce che si tratta di una cifra autocertificata, non di un benchmark verificato esternamente . Lo strumento è attualmente classificato come beta research preview, e il supporto Windows rimane in fase alpha iniziale .

I fatti principali

• srt blocca file e accesso alla rete usando funzioni OS integrate, senza container o virtual machine
• Anthropic segnala una riduzione dell'84% degli avvisi di permesso durante l'uso interno di Claude Code
• Il supporto Windows è ancora in alpha; il resto dello strumento è in beta research preview
• Il pacchetto npm ha licenza Apache-2.0, occupa circa 11,4 MB e richiede Node.js 22.12+

Fonti

1. Meet Anthropic’s sandbox-runtime: OS-Level Sandboxing for AI Agents, No Containers — marktechpost.com
2. GitHub - anthropics/sandbox-runtime: A lightweight sandboxing tool for enforcing filesystem and network restrictions on