TIP
メニュー
EN
← 記事

AI

AnthropicがAIエージェント向けOSレベルサンドボックス「sandbox-runtime」をオープンソース公開

2026/10/25

AnthropicがAIエージェント向けサンドボックスをオープンソース公開

Anthropicは、同社のAIコーディングアシスタント「Claude Code」のサンドボックス付きbashツールの基盤として実際に使用されてきたOSレベルのサンドボックスツール、sandbox-runtime（srt） をオープンソースとして公開した。MarkTechPostの報道によれば、srtはDockerなどのコンテナを一切使わずに、プロセスのファイルシステムおよびネットワークアクセスを制限できるのが特徴とされている。

Anthropicによれば、このサンドボックス化によってClaude Codeの社内利用における権限許可プロンプトが 84%削減された と報告されている。ただしこの数値はAnthropicの自己申告であり、外部機関によるベンチマークではない点に留意が必要だ。

コンテナ不要のOS標準機能を活用

srtが注目される理由のひとつは、各OSが標準で備える隔離機能（サンドボックスプリミティブ）をそのまま活用している点にある。記事によれば、各プラットフォームへの対応は以下のとおりとされている。

  • macOS: sandbox-exec と動的生成されるSeatbeltプロファイルを使用。追加で必要なのはripgrepのみ。
  • Linux: bubblewrap を使用し、ネットワーク名前空間を除去する形で隔離。socat と ripgrep が必要。
  • Windows: srt-sandbox 専用アカウント、Windows Filtering Platform（WFP）によるエグレスフェンス、明示的なファイルACLで対応。ただし現時点ではアルファ版扱いとされている。

制限はプロセス全体のツリー（子プロセスやスクリプトを含む）に適用されるとも説明されている。

ファイルシステムとネットワークの同時隔離が重要な理由

Anthropicチームは、ファイルシステムとネットワークのいずれか一方だけを隔離しても不十分だと主張している。ネットワーク隔離がなければプロンプトインジェクションを受けたエージェントがSSH秘密鍵などを外部に漏洩させる恐れがあり、逆にファイルシステム隔離がなければサンドボックスを脱出してネットワークアクセスを得られてしまうためだという。

srtのデフォルトポリシーは、読み取りは明示的に拒否しない限り許可、書き込みは明示的に許可しない限り拒否、ネットワーク接続はドメインをallowlistに追加しない限り拒否 という設計になっているとされている。

ネットワークトラフィックはホスト上で動作するHTTPプロキシおよびSOCKS5プロキシを経由させることで制御する仕組みとなっており、プロキシがドメインのallowlist・denylistを適用する。Linuxでは、これらのプロキシはUnixソケットを介してサンドボックス内にbindマウントされる形で提供されると説明されている。

インストールと使い方

npmパッケージ @anthropic-ai/sandbox-runtime として配布されており、npm install -g @anthropic-ai/sandbox-runtime でインストールできる。バージョンはv0.0.81（記事時点）、展開後のサイズは約11.4 MB、ライセンスはApache-2.0、Node.js 22.12以上が必要とされている。

使い方はシンプルで、通常のコマンドの前に srt を付けるだけで動作する。設定は ~/.srt-settings.json で管理し、許可するネットワークドメインや書き込み可能なパス、読み取り禁止ディレクトリなどを指定できる。MCP（Model Context Protocol）サーバーへの適用も可能で、.mcp.json 内の command を srt に変更するだけでよいとされている。

開発者向けにはTypeScriptライブラリとしてのAPIも提供されており、SandboxManager クラスの initialize(config) でプロキシを起動し、wrapWithSandbox() でラップされたコマンド文字列を取得してプロセスを起動する使い方も可能だという。

84%削減の意味

Anthropicが強調する「権限プロンプト84%削減」というのは、開発者が「承認」クリックに慣れすぎて内容を読まなくなる「承認疲れ」の解消を狙ったものだという。固定されたサンドボックス境界を設けることで、エージェントはその内部では自由に動作でき、境界を越える操作が必要なときだけ許可を求める設計になっているとされている。

なお現時点ではベータの研究プレビュー段階にあり、Windows対応はアルファ版にとどまると説明されている。

出典: Meet Anthropic’s sandbox-runtime: OS-Level Sandboxing for AI Agents, No Containers