想象一下，你正在用AI代码助手自动生成部署脚本，突然意识到：如果它误操作删除了核心配置文件，或者偷偷把服务器密钥发到外部域名怎么办？随着AI代理（比如自动化工具、MCP服务器）越来越深入开发流程，”如何让它们在安全边界内工作”成了绕不开的问题。

传统的容器化方案太重，配置复杂到劝退一半开发者；简单的权限控制又太粗放，防不住刁钻的越权操作。直到Anthropic开源的Sandbox Runtime（简称srt）出现——这款基于操作系统原生能力的轻量级沙箱工具，终于让”细粒度管控”和”易用性”找到了平衡点。

为什么我们需要给AI代理套上”缰绳”？

在AI代理满天飞的时代，安全风险往往藏在细节里：

  • 一款自动更新依赖的工具，可能被诱导写入恶意脚本到/usr/bin目录
  • 处理代码的MCP服务器，若权限失控可能读取~/.ssh里的密钥
  • 看似无害的自动化脚本，可能通过curl把敏感数据发送到未知域名

这些场景的共同点是：需要限制进程的”手脚”（文件操作）和”嘴巴”（网络通信），但又不能把它们捆得太死失去实用性。传统方案要么像虚拟机一样笨重，要么像chroot一样功能有限，而srt的巧妙之处在于：它直接调用操作系统的原生沙箱能力（macOS的sandbox-exec、Linux的bubblewrap），既保证了隔离强度，又做到了”随用随走”的轻量体验。

srt凭什么成为AI代理的”安全保镖”？

srt的核心能力可以用”双向管控”来概括：左手管文件，右手管网络，中间盯着进程间通信，形成一套完整的安全边界。

1. 网络访问：只让”可信域名”进门

你可以精确指定哪些域名能被访问，就像给AI代理列了一份”白名单通讯录”。比如允许访问GitHub相关域名（github.com、api.github.com）以便拉取代码，同时阻断所有未知域名的连接。

它不仅管HTTP/HTTPS，连SSH、数据库这类TCP协议也能通过SOCKS5代理管控。实测中，用srt curl example.com会直接被拦截，而srt curl anthropic.com则能正常返回内容——这种精准控制正是AI代理最需要的。

2. 文件系统：给读写权限划清”楚河汉界”

srt的文件权限策略堪称”教科书级谨慎”：

  • 读权限：默认开放所有路径（方便AI代理读取代码和文档），但你可以针对性封锁敏感目录（比如Read(~/.ssh)加入deny规则，直接阻断SSH密钥访问）
  • 写权限：默认只允许操作当前工作目录（避免乱改系统文件），如需扩展则显式添加规则（比如Edit(src/)允许修改源代码目录）

最妙的是”嵌套规则”：即使允许写入当前目录，你仍能单独禁止.env这类敏感文件（Edit(.env)加入deny），实现”整体开放+局部封锁”的精细控制。

3. 违规监控：一举一动尽在掌握

在macOS上，srt能直接接入系统沙箱日志，实时捕捉越权行为。执行log stream --predicate 'process == "sandbox-exec"'就能看到类似”试图写入~/sensitive被拒绝”的详细记录。Linux用户则可以通过strace追踪，比如strace -f srt <命令> 2>&1 | grep EPERM，轻松定位被阻断的操作。

深入原理：srt如何用OS原生能力筑墙？

srt的轻巧源于它不重复造轮子，而是把操作系统的原生沙箱能力”串联”起来，形成双重隔离网。

srt架构图

跨平台的”底层积木”

  • macOS：依赖sandbox-exec动态生成Seatbelt配置文件（苹果的沙箱规则格式），直接让系统内核强制执行文件和网络限制
  • Linux：用bubblewrap（简称bwrap）创建轻量容器，通过”网络命名空间隔离”切断直接网络访问，再用绑定挂载控制文件读写权限

双重隔离：文件与网络的”双保险”

文件系统隔离靠OS级强制规则：macOS通过Seatbelt配置明确定义允许的路径，Linux则用bwrap的绑定挂载把目录设为只读/读写。

网络隔离则用了”代理中介”策略：沙箱内的所有网络请求必须经过主机上的HTTP/SOCKS5代理，代理层严格校验域名规则。Linux甚至会移除沙箱的网络 namespace，让进程”只能看到代理”；macOS则通过Seatbelt限制只能连接代理端口，从根源阻断绕过可能。

上手实战：5分钟给进程套上沙箱

第一步：安装srt

只需一行npm命令（确保Node.js环境已安装）：

npm install -g @anthropic-ai/sandbox-runtime

Linux用户还需安装依赖（以Ubuntu为例）：

sudo apt-get install bubblewrap socat ripgrep

macOS用户补全ripgrep：

brew install ripgrep  # 或从官网下载二进制文件

第二步：基础操作尝鲜

用srt直接包裹命令即可生效：

# 测试网络限制：允许访问anthropic.com，阻断example.com
srt "curl anthropic.com"  # 成功返回内容
srt "curl example.com"    # 提示"Connection blocked"

# 测试文件限制：允许读当前目录，阻断读SSH密钥
srt "cat README.md"       # 正常显示内容
srt "cat ~/.ssh/id_rsa"   # 报错"Operation not permitted"

加--debug参数能看到详细的沙箱配置过程，适合调试规则：

srt --debug "npm install"  # 查看代理启动、权限应用的全过程

第三步：作为库集成到代码中

如果你的工具需要内置沙箱能力，可直接引入srt库（TypeScript示例）：

import { SandboxManager } from '@anthropic-ai/sandbox-runtime';
import { spawn } from 'child_process';

// 初始化沙箱（启动代理等资源）
await SandboxManager.initialize();

// 包装需要执行的命令
const sandboxedCommand = await SandboxManager.wrapWithSandbox('curl https://github.com');

// 执行并继承标准输入输出
const child = spawn(sandboxedCommand, { shell: true, stdio: 'inherit' });

// 处理退出事件
child.on('exit', (code) => {
  console.log(`命令退出，状态码：${code}`);
});

// 用完清理资源（进程退出时会自动执行）
process.on('exit', async () => {
  await SandboxManager.reset();
});

配置详解：定制你的安全规则

srt的配置文件采用JSON格式，支持多层级合并（从用户级到项目级），让你既能全局设置基础规则，又能针对特定项目微调。

一份实用的配置示例

{
  "sandbox": {
    "enabled": true,
    "network": {
      "allowUnixSockets": [],  // 禁止访问任何Unix socket（如docker.sock）
      "allowLocalBinding": false  // 不允许绑定本地端口
    }
  },
  "permissions": {
    "allow": [
      "WebFetch(domain:github.com)",  // 允许访问GitHub相关域名
      "WebFetch(domain:api.github.com)",
      "Edit(src/)",  // 允许写入src目录
      "Edit(test/)"   // 允许写入test目录
    ],
    "deny": [
      "Edit(.env)",  // 禁止修改.env文件
      "Read(~/.ssh)"  // 禁止读取SSH密钥
    ]
  }
}

路径匹配技巧

  • macOS：支持git风格的glob模式，比如src/**/*.ts匹配src下所有TypeScript文件，file?.txt匹配file1.txt等
  • Linux：目前仅支持字面路径，需精确指定（如/home/user/src）

配置文件存放位置

按优先级从高到低：

  1. 命令行指定：srt --settings /path/to/custom.json
  2. 项目本地：./.claude/settings.local.json
  3. 项目级：./.claude/settings.json
  4. 用户级：~/.claude/settings.json
  5. 系统级：Linux的/etc/claude-code/或macOS的/Library/Application Support/ClaudeCode/

典型场景：srt在实际开发中的应用

1. 给MCP服务器加安全边界

Model Context Protocol（MCP）服务器用于AI代理与本地资源交互，沙箱化它能有效降低风险。

未沙箱化的.mcp.json配置：

{
  "mcpServers": {
    "filesystem": {
      "command": "npx",
      "args": ["-y", "@modelcontextprotocol/server-filesystem"]
    }
  }
}

只需把命令换成srt即可启用沙箱：

{
  "mcpServers": {
    "filesystem": {
      "command": "srt",
      "args": ["npx", "-y", "@modelcontextprotocol/server-filesystem"]
    }
  }
}

再在~/.claude/settings.json中添加限制（比如禁止写入敏感目录），就能阻止MCP服务器越界操作。

2. 安全运行自动化测试工具

Jest等工具可能触发沙箱违规（比如Watchman访问超出允许范围的文件），解决方案是禁用Watchman：

srt "jest --no-watchman"  # 用Jest内置监听器替代Watchman

3. 高级流量监控：集成mitmproxy

如需深度 inspection 网络请求，可让srt使用自定义代理：

  1. 启动mitmproxy并监听8888端口：
mitmproxy -s custom_filter.py --listen-port 8888
  1. 配置srt使用该代理：
{
  "sandbox": {
    "network": {
      "httpProxyPort": 8888
    }
  }
}

这样所有沙箱内的HTTP流量都会经过mitmproxy，方便调试或添加复杂过滤逻辑。

安全边界与局限性

srt虽强，但并非万能。了解它的边界才能更好地使用：

  • 网络过滤依赖代理配置：部分程序可能忽略HTTP_PROXY等环境变量，导致无法联网（未来计划支持proxychains增强拦截）
  • Unix socket风险：允许/var/run/docker.sock等敏感socket可能导致沙箱逃逸，需严格审核
  • Linux监控较弱：目前没有原生违规日志，需手动用strace追踪（计划集成自动检测）
  • 路径权限需谨慎：允许写入$PATH目录或shell配置文件（如.bashrc）可能引发权限提升

官方文档特别提醒：允许github.com这类域名时，需注意其可能被用于数据 exfiltration（比如推送敏感信息到私有仓库），搭配MITM代理审核具体API调用会更安全。

常见问题解答

Q：srt与Docker等容器工具的核心区别是什么？
A：srt是轻量级进程级沙箱，直接复用OS原生能力，启动快、资源占用低，适合临时隔离单进程；Docker是完整容器，提供独立文件系统和网络栈，适合长期运行的服务。简单说：srt像”一次性手套”，Docker像”隔离病房”。

Q：Windows系统可以使用srt吗？
A：目前不支持。srt依赖macOS和Linux的特定系统工具，Windows版本仍在规划中。

Q：如何查看沙箱内进程的违规记录？
A：macOS用log stream --predicate 'process == "sandbox-exec"'实时查看；Linux需用strace追踪，例如strace -f srt <命令> 2>&1 | grep EPERM。

Q：允许Edit(.)后，还能单独禁止某个子文件吗？
A：可以。srt的规则遵循”deny优先”原则，比如Edit(.)允许当前目录写入，但deny: ["Edit(.env)"]会单独阻断.env文件。

结语：让AI代理在安全区自由奔跑

srt的价值，在于它平衡了”安全管控”和”开发体验”——既不用为了安全牺牲效率，也不用为了便利放弃防护。对于AI代理、自动化脚本这类需要”有限自由度”的场景，它提供了恰到好处的约束。

作为开源项目，srt还在快速进化：Linux的违规监控增强、更灵活的路径匹配、更强的代理拦截能力都在计划中。如果你也在为AI代理的安全问题头疼，不妨从srt "your-command"开始，给你的工具链加一道轻量却可靠的安全锁。

毕竟，真正的安全不是囚禁，而是划定清晰的边界——让该做的事畅通无阻，让危险的事无从下手。