Anthropicは2026年10月24日、オープンソースのサンドボックス実行時環境sandbox-runtime（略称srt）を公開しました。これはAIエージェント向けに設計されたOSレベルの隔離ツールで、Claude Codeのサンドボックス化されたbashツールを支えています。このツールはDockerなどのコンテナ技術に依存せず、macOSのSeatbeltやLinuxのbubblewrapといったシステムネイティブな隔離機能を直接利用することで、任意のプロセスおよびその完全な子プロセスツリーに対して、ファイルの読み書きとネットワーク接続を細粒度で制限します。
srtはnpmパッケージ@anthropic-ai/sandbox-runtime（v0.0.81、約11.4 MB、Apache-2.0ライセンス）として公開されており、Node.js 22.12以降をサポートし、macOSおよびLinuxの開発環境やCI環境で動作します。Windows版はまだアルファ段階に留まっています。その核心的な仕組みは、macOSではsandbox-execと動的に生成されるSeatbelt設定ファイルを組み合わせて使用し、Linuxではbubblewrapによってネットワーク名前空間を除去したうえで、socatとripgrepを連携してプロキシ経由の転送を実現しています。すべてのアウトバウンドトラフィックはホスト側のHTTP/SOCKS5プロキシを経由しなければならず、許可リストに明示的に登録されたドメインのみが通信可能です（デフォルトでは全拒否）。さらに、ループバックアドレスやクラウドメタデータ用IPアドレスへの解決を遮断するなど、回避を防ぐためDNS解決結果の検証も行われています。
Anthropicは、ファイル隔離とネットワーク隔離の両方が不可欠であると強調しています。ネットワーク隔離が欠如すると、プロンプトインジェクションによってSSHキーが窃取されるおそれがあり、ファイル隔離が欠如すると、エージェントがサンドボックスを脱出し、ネットワークアクセス権を取得する可能性があります。そのため、srtのデフォルトポリシーは、読み取り権限はグローバルに開放しつつも明示的に拒否（例：~/.ssh）できるようにし、書き込み権限はグローバルに禁止しつつも明示的に許可（例：現在のディレクトリ）できるように設定されています。また、ネットワークアクセスについては、デフォルトで完全に拒否されます。ユーザーは~/.srt-settings.jsonでルールを構成したり、TypeScriptライブラリSandboxManagerを用いてコード内でコマンドを動的に初期化・カプセル化したりすることができます。
Anthropicの社内報告書によると、このサンドボックスはClaude Codeにおいて開発者権限確認のプロンプトを84％削減したとされています（これは自己申告によるデータであり、第三者によるベンチマークテストではありません）。その目的は「承認疲れ」――すなわち、開発者が頻繁に「許可」をクリックすることで実際のリスクを見落としてしまう状態――を軽減することです。しかし、そのセキュリティ効果はallowlist設計に大きく依存しており、過度に厳格すぎると（たとえばapi.github.comのみを許可する場合）npm installが失敗し、逆に緩すぎると（たとえば*.comを許可する場合）データ漏洩のリスクが生じる可能性があります。そのため、srtでは複数の調整メカニズムを提供しています：ワイルドカードやポート指定、ヒットしなかったドメインに対するaskコールバック（モデルが理解可能な理由を返す）、一時的な単回呼び出しによる登録、実行時の--control-fdによるルールのホットアップデート、さらにはプロキシに対して拒否理由を返す機能（たとえばHTTPSを使用したGitリモートアドレスへの切り替えを推奨するなど）です。
現在、srtは依然としてベータ版の研究プレビューであり、Windowsへの対応はまだ十分に成熟しておらず、すべての性能および効果に関するデータはAnthropic社内のシナリオに基づくもので、外部での検証に関する詳細は公表されていません。その技術的な位置づけは従来のコンテナ型サンドボックスとは異なり、より基盤となるシステムの機能に近いものであり、低コストかつ高い制御性が求められるローカルAIエージェントの開発やMCP（Model Control Protocol）サービスの展開といった場面に適しています。プロジェクトのソースコード、エンジニアリングドキュメント、およびClaude Codeサンドボックスの説明はGitHub上で公開されています。