Was ist Anthropic Sandbox Runtime (srt)?
Sandbox Runtime, aufgerufen als Befehl srt, hüllt jeden Prozess und alles, was er startet, in Beschränkungen des Betriebssystems. Auf macOS nutzt es sandbox-exec, auf Linux bubblewrap; unter Windows führt es den Prozess unter einem eigenen lokalen Benutzerkonto mit einem Netzwerkfilter aus. Netzwerkverkehr läuft über einen Proxy, der nur die Domains durchlässt, die du erlaubst, und Schreibzugriffe werden überall verweigert außer auf den Pfaden, die du freigibst.
Es ist die Engine hinter dem eingebauten /sandbox in Claude Code und funktioniert als CLI oder als Bibliothek. Anthropic bezeichnet es als Beta-Research-Preview, das Konfigurationsformat kann sich also noch ändern. v0.0.81 erschien am 20. Oktober 2026.
Lohnt sich Anthropic Sandbox Runtime (srt)?
Die meisten Ratschläge zur Sicherheit von KI-Agenten drehen sich darum, dass der Agent sich benimmt. Eine Sandbox geht davon aus, dass er es nicht tut. Wenn eine Prompt Injection deinen Agenten überredet, deinen SSH-Schlüssel zu lesen, diskutiert srt nicht: Die Demo im README zeigt, wie cat ~/.ssh/id_rsa mit "Operation not permitted" scheitert, während cat README.md funktioniert.
Was erlaubt ist, legst du in einer einzigen Einstellungsdatei fest: welche Ordner gelesen oder beschrieben werden dürfen, welche Domains erreichbar sind. Alles andere ist zu. Weil die Regeln für den ganzen Prozessbaum gelten, kannst du auch einen lokalen MCP-Server unter srt laufen lassen oder Claude Code selbst als srt claude starten, sodass auch Hooks und MCP-Server eingesperrt sind.
Der Haken: Schreibzugriffe in deinem Projektordner sind absichtlich erlaubt, denn dort arbeitet der Agent. srt wird also weder ein git reset --hard noch eine gelöschte Quelldatei verhindern. Es ist außerdem eine Beta (v0.0.81 zum Zeitpunkt des Schreibens, mit 6.300 GitHub-Sternen), und eine Allowlist entscheidet, wohin Daten gehen können, nicht was dorthin geht: Ist github.com erlaubt, ist auch ein Gist erlaubt.
Unser Fazit: Das ist der günstigste ernsthafte Schutz in der Agentensicherheit. Wenn du Claude Code nutzt, ist das eingebaute /sandbox einen Befehl entfernt und nutzt dieselbe Engine. Kombiniere es mit einem Befehlswächter wie cc-safety-net für den Schaden, den es konstruktionsbedingt durchlässt.
Wo es sich lohnt
Eine Solo-Entwicklerin, die Claude Code mit aktiviertem Auto-Accept nutzt
Verhindern, dass der Agent Schlüssel und Secrets außerhalb des Projekts liest
Schalte /sandbox ein oder starte srt claude mit gesperrtem ~/.ssh und ~/.aws. Kostet nichts; der Agent behält vollen Zugriff auf den Projektordner.
Ein Platform-Engineer, der MCP-Server von Drittanbietern freigibt
Einen MCP-Server aus der Community laufen lassen, ohne ihm den ganzen Laptop zu überlassen
Setz srt in .mcp.json vor den Startbefehl des Servers und erlaube nur seinen Arbeitsordner und die eine API-Domain, die er braucht.
Bevor du dich festlegst
- Einrichtung
- npm install -g @anthropic-ai/sandbox-runtime; unter Linux brauchst du außerdem bubblewrap, socat und ripgrep aus dem Paketmanager. In Claude Code schaltet /sandbox die eingebaute Version ein.
- Daten und Datenschutz
- Läuft lokal und sendet nichts irgendwohin. Apache 2.0.
- Kosten im großen Maßstab
- Kostenlos; eine kostenpflichtige Edition gibt es nicht.
- Grenzen
- Schreibzugriffe im Projekt sind konstruktionsbedingt erlaubt; Domain-Allowlists können nicht prüfen, was an einen erlaubten Host gesendet wird; Beta-APIs können sich ändern.
Was gut ist
- Durchsetzung auf Betriebssystemebene, an der ein getäuschter Agent nicht vorbeiredet
- Kein Container und keine VM nötig
- Sperrt MCP-Server und Hooks mit ein, wenn du den Agenten unter srt startest
- Vom Hersteller selbst und kostenlos; schon in Claude Code eingebaut
Was nicht
- Beta-Research-Preview; die Konfiguration kann sich ändern
- Schreibzugriffe im Projekt sind erlaubt, destruktive git-Befehle laufen also trotzdem
- Die Windows-Unterstützung ist die jüngste und am wenigsten erprobte
Am besten für
Alle Entwickler, die einen Coding-Agenten auf dem eigenen Rechner laufen lassen, als erste Schutzschicht.
Alternativen zu Anthropic Sandbox Runtime (srt)
Anthropic Sandbox Runtime (srt): häufige Fragen
- Lohnt sich Anthropic Sandbox Runtime (srt)?
- Deinem Coding-Agenten lässt sich alles einreden; dem Betriebssystem nicht, und srt gibt dem Betriebssystem das Kommando. Wir bewerten es mit 4.4 von 5.
- Was kostet Anthropic Sandbox Runtime (srt)?
- Kostenlos und Open Source unter Apache 2.0.
- Welche Nachteile hat Anthropic Sandbox Runtime (srt)?
- Beta-Research-Preview; die Konfiguration kann sich ändern; Schreibzugriffe im Projekt sind erlaubt, destruktive git-Befehle laufen also trotzdem; Die Windows-Unterstützung ist die jüngste und am wenigsten erprobte.
- Für wen eignet sich Anthropic Sandbox Runtime (srt)?
- Alle Entwickler, die einen Coding-Agenten auf dem eigenen Rechner laufen lassen, als erste Schutzschicht.
- Was kostet Anthropic Sandbox Runtime (srt) für ein Team oder im Produktivbetrieb?
- Kostenlos; eine kostenpflichtige Edition gibt es nicht.
- Ist Anthropic Sandbox Runtime (srt) sicher für Firmendaten?
- Läuft lokal und sendet nichts irgendwohin. Apache 2.0.
- Was sind die besten Alternativen zu Anthropic Sandbox Runtime (srt)?
- Die nächsten Alternativen, die wir getestet haben, sind NVIDIA OpenShell, CC Safety Net und OpenSandbox.
Antworten geprüft am 24. Okt. 2026.