Anthropic는 2026년 10월 24일에 오픈소스 샌드박스 런타임인 sandbox-runtime(약칭 srt)을 공개했으며, 이는 AI 에이전트를 위해 설계된 OS 수준의 격리 도구로 Claude Code의 샌드박스화된 bash 도구를 지원합니다. 이는 Docker와 같은 컨테이너 기술에 의존하지 않고, 대신 macOS의 Seatbelt 및 Linux의 bubblewrap 등 시스템의 원래 제공하는 격리 기능을 직접 호출하여, 임의의 프로세스와 그 전체 자식 프로세스 트리를 대상으로 세밀한 파일 읽기·쓰기 및 네트워크 연결 제한을 적용합니다.
srt는 npm 패키지 @anthropic-ai/sandbox-runtime(v0.0.81, 약 11.4 MB, Apache-2.0 라이선스) 형태로 배포되며, Node.js 22.12 이상을 지원하고 macOS 및 Linux 개발 환경 또는 CI 환경에서 실행할 수 있습니다. Windows 버전은 아직 알파 단계에 불과합니다. 핵심 메커니즘은 다음과 같습니다: macOS에서는 sandbox-exec을 사용하고 동적으로 생성된 Seatbelt 구성 파일을 함께 활용하며, Linux에서는 bubblewrap을 통해 네트워크 네임스페이스를 제거한 뒤 socat과 ripgrep을 결합하여 프록시 전달을 구현합니다. 모든 나가는 트래픽은 반드시 호스트 측 HTTP/SOCKS5 프록시를 통과해야 하며, 명시적으로 허용 목록에 포함된 도메인만 허용됩니다(기본 설정은 전면 거부). 또한 DNS 해석 결과를 검증하여 루프백이나 클라우드 메타데이터 IP로의 해석을 우회하는 것을 방지합니다.
Anthropic은 파일 격리와 네트워크 격리가 모두 필수적임을 강조합니다. 네트워크 격리가 부족하면 프롬프트 인젝션이 발생한 뒤 SSH 키가 탈취될 수 있으며, 파일 격리가 부족하면 에이전트가 샌드박스를 탈출해 네트워크 권한을 획득할 수 있습니다. 따라서 srt의 기본 정책은 다음과 같습니다: 읽기 권한은 전역적으로 개방되지만 ~/.ssh와 같이 명시적으로 거부할 수 있으며, 쓰기 권한은 전역적으로 금지되지만 현재 디렉터리와 같이 명시적으로 허용할 수 있습니다. 네트워크 접근은 기본적으로 완전히 거부됩니다. 사용자는 ~/.srt-settings.json을 통해 규칙을 구성하거나, TypeScript 라이브러리인 SandboxManager를 활용해 코드 내에서 명령어를 동적으로 초기화하고 래핑할 수 있습니다.
Anthropic의 내부 보고서에 따르면, 이 샌드박스는 Claude Code에서 개발자 권한 확인 프롬프트를 84% 감소시켰다고 합니다(이는 자체 보고된 수치로, 제3자 벤치마크 결과가 아닙니다). 목표는 ‘승인 피로’를 완화하는 것으로, 즉 개발자가 ‘허용’을 자주 클릭하다 보니 실제 위험을 간과하는 현상을 줄이기 위한 것입니다. 그러나 그 안전성과 효과성은 허용 목록 설계에 크게 의존합니다: 지나치게 엄격하게 설정하면(예: api.github.com만 허용) npm install이 실패할 수 있고, 반대로 지나치게 느슨하게 설정하면(예: *.com) 데이터 유출이 발생할 수 있습니다. 이를 위해 srt은 여러 조정 메커니즘을 제공합니다: 와일드카드와 포트 지정, 미매칭 도메인에 대한 ask 콜백(모델이 이해할 수 있는 이유를 반환), 단일 호출 시 임시 등록, 런타임 중 --control-fd 옵션을 통해 규칙을 실시간으로 업데이트하는 기능, 그리고 프록시에게 거부 사유를 반환하는 기능(예: HTTPS git 원격 주소로 변경할 것을 권장하는 경우) 등이 포함됩니다.
현재 srt는 여전히 베타 연구 프리뷰 버전으로, Windows 지원이 아직 완성되지 않았으며, 모든 성능 및 효과 데이터는 Anthropic 내부 시나리오에서 도출된 것으로 외부 검증 세부사항은 공개되지 않았습니다. 이 기술의 정위는 전통적인 컨테이너 샌드박스와는 차별화되며, 더 깊이 있는 하위 계층 시스템 능력에 가깝습니다. 따라서 낮은 오버헤드와 높은 제어성을 요구하는 로컬 AI 에이전트 개발 및 MCP(모델 제어 프로토콜) 서비스 배포와 같은 사용 사례에 적합합니다. 프로젝트 소스 코드, 엔지니어링 문서 및 Claude Code 샌드박스 설명서는 GitHub에 공개되어 있습니다.