帖子说了什么
@thebitcode 介绍 Anthropic 将 Claude Code 使用的沙箱运行时以 sandbox-runtime（srt）开源：在 macOS 用系统 Seatbelt，在 Linux 用 bubblewrap，不必再拉起完整容器，就能限制进程树对文件系统和网络的访问。它不只服务 Claude Code，也可包自己的 Agent、本地 MCP Server 甚至普通 CLI。帖子也提醒：网络白名单太紧任务跑不动，太松则安全价值打折——难点在安全与可用性的平衡。
对照官方文档
Sandbox environments 与 GitHub anthropics/sandbox-runtime 确认：这是面向更安全 Agent 的 beta research preview；可用 npm i -g @anthropic-ai/sandbox-runtime，配置 ~/.srt-settings.json 后执行 srt claude。默认往往拒绝网络、写路径也收得很窄，需要显式放行项目目录、~/.claude、~/.claude.json 以及 api.anthropic.com / 登录相关域名等。Linux 还需 bubblewrap、socat（以及文档要求的 ripgrep 等）。
落地建议
- 先开内置
/sandbox：日常 Bash 隔离用 Claude Code 自带沙箱；需要把 hooks、MCP、整进程都罩住时再用srt。 - 白名单按最小必要：只放行真正要用的域名与写路径；凭证路径用 denyRead / credentials 掩码。
- fail closed：组织环境可配
sandbox.failIfUnavailable，沙箱起不来就拒绝裸跑。 - 当研究预览对待：配置格式可能变，升级后复查
~/.srt-settings.json。
小结
权限规则拦「Claude 想做什么」；OS 沙箱拦「进程实际碰得到什么」。两者叠用，账号与本机密钥更不容易被一次工具调用带走。
