一句话看懂：Anthropic 于 2026 年 10 月 24 日开源了 sandbox-runtime（srt），这是一个不依赖容器、直接调用操作系统隔离机制的沙箱工具，用于限制 AI Agent 能读写哪些文件、能访问哪些域名。它值得关注，是因为它把 Agent 权限控制从“每次人工确认”转向“预先划定边界”。
事件核心：发生了什么
目前公开信息显示，srt 以 npm 包 @anthropic-ai/sandbox-runtime（v0.0.81，约 11.4 MB，Apache-2.0，需 Node.js 22.12+）的形式发布，可直接用 srt 命令前缀包裹任意进程，也提供 TypeScript 库接口。它并非 Claude Code 专属，本地 MCP 服务器和普通命令行程序同样能运行其中。其隔离依赖各操作系统自带能力：macOS 用 Seatbelt 动态生成策略；Linux 用 bubblewrap 并移除网络命名空间，另需 socat 和 ripgrep；Windows 仍为 alpha，采用独立账户、Windows Filtering Platform 出站限制与文件 ACL。网络流量只能经主机上的 HTTP/SOCKS5 代理离开，再由代理执行域名允许/拒绝列表。默认规则是：读操作默认放开、写操作默认禁止、网络默认禁止。
为什么重要
Agent 既要改代码，也要装依赖、拉文档、调 API，权限边界很难拿捏。Anthropic 内部数据显示，启用沙箱后 Claude Code 的权限弹窗减少了 84%；这是自报数字，并非第三方基准测试。其逻辑在于减少“审批疲劳”——开发者整天点“批准”后往往不再细看内容。srt 还提供通配符域名、按命令临时放行、运行中热更新网络列表、解析地址校验（拦截指向回环或云元数据 IP 的域名）等中间档位。与 Docker 沙箱、E2B 的 microVM 路线相比，srt 更轻，但隔离强度也取决于操作系统原语。
对用户/开发者/创作者的影响
对开发者，接入成本较低：把 MCP 配置中的 npx 换成 srt，规则写进 ~/.srt-settings.json，即可限制读 ~/.ssh、写 .env 等敏感路径。对自建 Agent，可通过 SandboxManager 初始化代理并包装命令。对企业而言，这意味着在不上容器编排的前提下，也能为编码 Agent 加一层文件与网络双重限制。注意“1 个边界不够”的判断：缺少网络隔离，被提示注入的 Agent 可能外传 SSH 密钥；缺少文件隔离，Agent 可能绕过限制获得网络访问。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 Windows 支持能否从 alpha 走向稳定；二是严格白名单与 Agent 实际可用性之间的平衡——允许列表太紧，npm install 就会失败；三是 84% 这一数字是否有外部独立评测复现，以及竞品是否会跟进类似的 OS 级沙箱方案。
