Anthropic puso a disposición de desarrolladores sandbox-runtime, una herramienta de código abierto para ejecutar procesos con límites sobre los archivos que pueden tocar y las conexiones de red que pueden abrir, sin depender de contenedores.

La compañía la presentó como un mecanismo para aislar agentes de inteligencia artificial, servidores MCP, comandos de terminal y programas propios mediante controles del sistema operativo anfitrión. Anthropic dijo además que su uso interno redujo 84% los avisos de permisos de Claude Code, aunque ese resultado corresponde a una medición interna de la empresa.

Qué hace y cómo restringe el acceso

El paquete se distribuye como @anthropic-ai/sandbox-runtime en npm. Según la información del proyecto, la versión 0.0.81 ocupa cerca de 11,4 MB descomprimida, usa licencia Apache-2.0 y requiere Node.js 22.12 o posterior.

La herramienta se instala globalmente con npm y permite anteponer srt al comando que se quiere ejecutar dentro del entorno restringido. Su lógica parte de una distinción entre lectura y escritura: las lecturas se permiten salvo que una regla las prohíba, mientras que las escrituras quedan bloqueadas si no hay autorización expresa.

En red, el comportamiento por defecto es denegar conexiones y habilitar excepciones mediante una lista de dominios permitidos. Anthropic sostiene que esta separación busca reducir el riesgo de que un agente con acceso amplio a archivos o a internet pueda sacar datos fuera del entorno previsto.

El aislamiento cambia según la plataforma

En macOS, sandbox-runtime usa sandbox-exec y perfiles de Seatbelt; la dependencia adicional mencionada para esa plataforma es ripgrep. El perfil permite conexión a un puerto de localhost, mientras un proxy en el equipo anfitrión verifica si el dominio solicitado está entre los autorizados.

En Linux, la herramienta recurre a bubblewrap, elimina el espacio de nombres de red del proceso aislado y obliga a que el tráfico pase por proxies. Para esa configuración, el proyecto señala también socat y ripgrep, con los proxies montados mediante sockets Unix dentro del sandbox.

En Windows, el soporte sigue en fase alfa. Anthropic describe una estructura distinta basada en una cuenta dedicada llamada srt-sandbox, reglas explícitas de control de acceso para archivos y una barrera de salida con Windows Filtering Platform.

El tráfico, en ese caso, solo puede salir mediante proxies HTTP y SOCKS5 que corren en el host. La empresa no presenta esa plataforma como una versión estable equivalente a las de macOS y Linux.

Uso con agentes, MCP y comandos de terminal

Anthropic mostró que sandbox-runtime puede envolver servidores MCP, agentes propios y comandos de terminal. Para un servidor MCP, el ejemplo consiste en cambiar el comando de ejecución en el archivo .mcp.json, sustituyendo npx por srt y pasando la instrucción original como argumento.

Las reglas se guardan en ~/.srt-settings.json y permiten combinar dominios autorizados, rutas de lectura bloqueadas, ubicaciones donde sí se puede escribir y excepciones para proteger archivos sensibles. El ejemplo publicado autoriza conexiones a api.github.com y *.npmjs.org, bloquea la lectura de ~/.ssh y prohíbe modificar .env, aunque permite escribir en el directorio de trabajo.

Quienes construyan su propio agente pueden usar una biblioteca de TypeScript que expone SandboxManager. La secuencia descrita por Anthropic consiste en llamar a initialize(config) para poner en marcha los proxies y luego usar wrapWithSandbox() para obtener una cadena de comando ejecutable.

La flexibilidad de la lista de dominios es clave porque los agentes de programación suelen instalar dependencias, consultar documentación y llamar interfaces de programación. Una lista demasiado estrecha puede cortar tareas como una instalación de npm; una demasiado amplia reduce la utilidad de la barrera.

La cifra interna que difundió la empresa

Anthropic atribuye a sandbox-runtime una reducción de 84% en los avisos de permisos de Claude Code durante su uso interno. Ese porcentaje no se presenta como un benchmark externo, sino como un resultado reportado por la propia empresa.

La compañía plantea que una frontera fija permite que el agente trabaje dentro de un perímetro previamente aceptado y pida intervención cuando llegue a sus límites. También admite varias opciones para ajustar reglas sin volverlas totalmente rígidas: comodines y puertos en dominios, respuestas de consulta para destinos no contemplados, listas de autorización por comando y actualización de reglas de red mientras un proceso sigue activo mediante –control-fd.

El proyecto añade verificación de direcciones resueltas para bloquear destinos de loopback o metadatos de nube, además de razones para explicar por qué se deniega un dominio. Anthropic presenta sandbox-runtime como una vista previa beta de investigación, con Windows todavía en alfa.