Découvrez sandbox-runtime d'Anthropic : un sandboxing au niveau du système d'exploitation pour agents IA, sans conteneurs
Anthropic a publié en open source sandbox-runtime (srt), l'outil d'isolation au niveau du système d'exploitation qui sous-tend l'outil bash sandboxé de Claude Code. Distribué sous licence Apache-2.0 via le paquet npm @anthropic-ai/sandbox-runtime (version 0.0.81, environ 11,4 Mo, Node.js 22.12 ou supérieur), il limite les fichiers auxquels un processus peut accéder et les hôtes qu'il peut joindre, sans lancer de conteneur. Il s'installe par npm install -g et se place devant n'importe quelle commande en la préfixant par srt, ou s'utilise comme bibliothèque TypeScript. Il s'appuie sur les mécanismes natifs de chaque système et couvre l'ensemble de l'arbre de processus, scripts et sous-processus compris. Sur macOS, il génère dynamiquement des profils Seatbelt via sandbox-exec, avec ripgrep pour seule dépendance. Sur Linux, il utilise bubblewrap en supprimant l'espace de noms réseau, et requiert aussi socat et ripgrep. Sur Windows, encore en version alpha, il recourt à un compte dédié « srt-sandbox », à une barrière de sortie Windows Filtering Platform et à des ACL de fichiers explicites. Le trafic ne sort que par des proxys HTTP et SOCKS5 exécutés sur l'hôte, accessibles via des sockets Unix montés dans le bac à sable sous Linux, ou via un unique port localhost autorisé par le profil Seatbelt sous macOS. Ces proxys appliquent ensuite les listes de domaines autorisés et interdits.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de MarkTechPost. Lire l'article original →
L'enjeu est d'abord celui de la sécurité des agents d'IA. Selon l'équipe d'Anthropic, une seule des deux frontières ne suffit pas : sans isolation réseau, un agent victime d'une injection de prompt pourrait exfiltrer des clés SSH ; sans isolation du système de fichiers, il pourrait s'échapper du bac à sable et retrouver un accès réseau. Les réglages par défaut suivent cette logique : lecture permise partout sauf refus explicite, écriture interdite partout sauf autorisation, réseau fermé sauf domaine placé sur liste blanche. Anthropic affirme aussi que le bac à sable a réduit de 84 % les demandes d'autorisation dans son usage interne de Claude Code. Ce chiffre est déclaratif et non issu d'un test indépendant, mais il vise un vrai problème : la fatigue d'approbation, quand des développeurs qui cliquent « approuver » toute la journée finissent par ne plus lire ce qu'ils valident. Avec une frontière fixe, l'agent travaille librement à l'intérieur et ne sollicite l'utilisateur qu'à la limite.
L'outil n'est pas réservé à Claude Code. Pour un serveur MCP, il suffit de remplacer npx par srt dans le fichier .mcp.json et de passer la commande d'origine en arguments. Les règles se définissent dans ~/.srt-settings.json, par exemple en autorisant api.github.com et *.npmjs.org, en interdisant la lecture de ~/.ssh, en limitant l'écriture au dossier courant et en protégeant les fichiers .env. Pour un agent maison, la classe SandboxManager de la bibliothèque démarre les proxys avec initialize(config), puis wrapWithSandbox() renvoie une commande encapsulée prête à être lancée. Le projet reste toutefois une préversion de recherche en bêta, avec un support Windows en alpha. Il s'inscrit dans la course des éditeurs d'agents de code à rendre l'autonomie des modèles compatible avec des garde-fous vérifiables, au moment où les attaques par injection de prompt deviennent une préoccupation centrale. Sa publication en open source permet à d'autres outils de s'appuyer sur la même base d'isolation.
Pas d'impact direct sur la France/UE