不靠容器，操作系统级沙箱成AI Agent新防线
容器之外的另一条路
当AI Agent开始被赋予执行真实指令的权限，安全边界问题便从学术讨论走向工程前线。传统方案倾向于用容器构建隔离层，但容器带来的启动开销、配置复杂度与运维负担，对频繁启停的Agent场景并不友好。Anthropic近期开源的sandbox-runtime（简称srt）提供了一种不同思路：它不创建容器，而是直接调用操作系统自身的隔离原语，将任意进程包裹进文件系统与网络访问的双重限制中。
这一工具最初服务于Claude Code的沙箱化bash工具，如今已被剥离为独立开源项目。开发者只需通过npm安装，并在命令前加上srt前缀，即可让程序运行在受限环境中。从技术定位看，它试图填补一个被长期忽视的空白——在裸机运行与完整容器化之间，是否存在一种更轻量的中间态？
三条路径，同一目标
srt的设计挑战在于跨平台兼容。macOS、Linux与Windows的隔离机制各不相同，srt没有尝试抽象出一层统一接口，而是尊重各系统原生能力，分别构建了实现路径。
在macOS上，srt借助sandbox-exec动态生成Seatbelt配置文件，仅需ripgrep作为额外依赖。Linux端依赖bubblewrap构建隔离环境，移除网络命名空间，并通过socat与ripgrep配合实现代理转发。Windows版本目前处于alpha阶段，采用专用沙箱账户、Windows Filtering平台出站防火墙以及显式文件访问控制列表。网络流量被强制经由宿主机上的HTTP与SOCKS5代理中转，Linux下这些代理通过Unix套接字挂载进沙箱，macOS则通过Seatbelt策略限定仅允许一个本地端口通信。
代理层承担了域名白名单与黑名单的实际执行。这种设计使得网络策略可以灵活配置，而无需修改操作系统底层规则。
为何必须同时封锁文件与网络
Anthropic团队在文档中明确表达了一个安全立场：单靠文件系统隔离或网络隔离中的任意一项，都无法构成有效防线。这一判断源于对Agent攻击路径的推演。
假设仅有文件系统隔离而网络未受限，被提示注入攻陷的Agent仍可能通过出站连接将SSH密钥等敏感数据外传。反过来，若仅限制网络而文件系统开放，Agent可能通过修改系统配置或写入启动脚本，在沙箱之外获得网络访问能力，从而绕开所有限制。srt的默认策略遵循这一逻辑：读取操作除非明确禁止则一律允许，写入操作除非明确授权则一律禁止，网络访问则默认拒绝，仅放行已列入白名单的域名。
这种策略取向体现了一种务实的安全哲学——在可用性与防护力之间寻求平衡。开发者可以根据任务风险等级调整规则粒度，而非被迫接受全有或全无的二元选择。
从接入方式看，srt既提供命令行接口，也暴露TypeScript库。对于MCP服务器，用户只需将.mcp.json中的npx替换为srt，并把原命令作为参数传入，规则则统一写在~/.srt-settings.json中。自定义Agent可通过SandboxManager编程式调用，初始化代理并配置策略后，即可将Agent进程纳入沙箱管理。
沙箱民主化的工程意义
将沙箱能力从单一产品中抽离并开源，其影响超出工具本身。长期以来，生产级沙箱被视为大厂专属能力，需要专门团队维护。srt的出现降低了技术门槛，使得中小型团队乃至个人开发者也能以极低成本获得操作系统级防护。
与容器方案相比，srt的优势在于启动速度与资源占用。它无需启动完整容器实例，而是直接复用宿主进程，这在Agent需要频繁创建临时执行环境的场景中尤为关键。据Anthropic内部披露的数据，沙箱化使Claude Code的权限提示减少了84%。这一数字背后反映的不仅是安全增强，更是用户体验的提升——当Agent在受控环境中运行时，用户不必反复确认每一项操作的合法性。
不过，必须清醒认识其当前局限。项目仍处于beta研究预览阶段，Windows支持仅为alpha，意味着生产环境部署需谨慎评估。此外，沙箱的有效性依赖于操作系统底层机制的可靠性，若原生隔离原语存在漏洞，srt的防护能力也会随之削弱。
从实验到基础设施的路径
AI Agent正在从演示场景走向真实工作流，而安全基础设施的演进往往滞后于能力提升。srt这类工具的价值在于，它让安全成为可调用的能力，而非需要重新架构的负担。
未来观察点在于社区如何扩展其生态。如果主流Agent框架和MCP服务器开始原生支持srt，它可能演变为AI开发的标准组件之一。另一方面，随着更多开发者在真实场景中检验其边界，沙箱策略的精细度与跨平台一致性也将持续迭代。
在容器与裸机之间，srt走出了一条务实的中间道路。它不试图取代容器，而是为那些不需要完整虚拟化、但仍需基本安全保证的场景提供选项。当AI Agent的权限边界日益模糊，操作系统级沙箱或许不会是最耀眼的技术，但它很可能成为最不可或缺的那一层。