Anthropic Sandbox Runtime (srt)とは？
srt コマンドとして実行される Sandbox Runtime は、あらゆるプロセスおよびそれが起動するすべてのものをオペレーティングシス テムの制限下に置きます。macOS では sandbox-exec、Linux では bubblewrap を使用します。Windows ではネットワークフィルターを備えた専用のローカルユーザーアカウントでプロセスを実行します。ネットワークトラフィックは許可されたドメインのみを通過させるプロキシを経由し、書き込みは許可されたパス以外ではすべて拒否されます。
これは Claude Code の組み込み機能である /sandbox の基盤となるエンジンであり、CLI またはライブラリとして機能します。Anthropic はこれをベータ研究プレビューと位置付けているため、設定形式は今後変更される可能性があります。v0.0.81 は 2026年10月20日にリリースされました。
Anthropic Sandbox Runtime (srt)は使う価値があるか？
AI エージェントの安全性に関する助言の多くは、エージェントが適切に動作することを前提としています。サンドボックスは、エージェントが適切に動作しないことを前提とします。プロンプトインジェクションによってエージェントが SSH キーの読み取りを誘導された場合でも、srt は議論の余地を残しません。README のデモでは、cat README.md が機能する一方で、cat ~/.ssh/id_rsa が「Operation not permitted」で失敗する様子が示されています。
読み書き可能なフォルダーやアクセス可能なドメインなど、許可する対象は1つの設定ファイルで選択します。それ以外のすべては遮断されます。ルールはプロセーツリー全体に適用されるため、srt の下でローカルの MCP server を実行したり、srt claude として Claude Code 自体を実行したりして、フックや MCP server も同様に隔離することができます。
注意点として、プロジェクトフォ ルダー内への書き込みは意図的に許可されています。そこがエージェントの作業場所であるためです。したがって、srt は git reset --hard やソースファイルの削除を阻止しません。また、現在はベータ版（執筆時点で v0.0.81、GitHub スター数は 6,300）であり、許可リストはデータがどこに送信されるかを決定するものであり、何が送信されるかを決定するものではありません。github.com が許可されている場合、gist も許可されます。
私たちの見解として、これはエージェントセキュリティにおいて最もコストをかけずに導入できる本格的な保護手段です。Claude Code を使用している場合、組み込みの /sandbox はコマンド1つで利用でき、同じエンジンが使用されています。設計上許容されている損害に対しては、cc-safety-net などのコマンドガードと併用してください。
真価を発揮する場面
auto-accept を有効にして Claude Code を実行している個人開発者
エージェントがプロジェクト外のキーやシークレットを読み取るのを阻止すること
/sandbox を有効にするか、~/.ssh と ~/.aws を拒否して srt claude を実行します。費用はかかりません。エージェントはプロジェクトフォルダーへの完全なアクセス権を維持します。
サードパーティの MCP server を承認するプラットフォームエンジニ ア
ノート PC 全体への権限を与えることなく、コミュニティの MCP server を実行すること
.mcp.json 内のサーバーコマンドの前に srt を追加し、その作業フォルダーと必要な1つの API ドメインのみを許可します。
導入前に確認すること
- 導入
- npm install -g @anthropic-ai/sandbox-runtime を実行します。Linux ではパッケージマネージャーから bubblewrap、socat、ripgrep も必要です。Claude Code では、/sandbox によって組み込みバージョンが有効になります。
- データとプライバシー
- ローカルで実行され、外部にデータを送信しません。Apache 2.0 です。
- 大規模利用時のコスト
- 無料です。有料版はありません。
- 制限
- プロジェクトへの書き込みは設計上許可されています。ドメイン許可リストは、許可されたホストに何が送信されたかを検査することはできません。ベータ版の API は変更される可能性があります。
良い点
- 欺かれたエージェントが回避できない OS レベルの強制力
- コンテナや VM が不要
- エージェントを srt 配下で実行する際、MCP server やフックも隔離
- ファーストパーティ製かつ無料。Claude Code に組み込み済み
気になる点
- ベータ研究プレビューであり、設定が変更される可能性
- プロジェクト内の書き込みが許可されているため、破壊的な git コマンドも実行可能
- Windows サポートは最も新しく、実績が少ない
おすすめの人
自身のマシンでコーディングエージェントを実行するすべての開発者の第一層の防御策として最適です。
Anthropic Sandbox Runtime (srt)の代替
Anthropic Sandbox Runtime (srt)：よくある質問
- Anthropic Sandbox Runtime (srt)は使う価値があるか？
- コーディングエージェントは何にでも誘導される可能性がありますが、オペレーティングシステムはそうではありません。srt はオペレーティングシステムに制御権を委ねます。 評価は5点満点中4.4点です。
- Anthropic Sandbox Runtime (srt)の料金は？
- Apache 2.0 ライセンスに基づく無料でオープンソースのソフトウェアです。
- Anthropic Sandbox Runtime (srt)の欠点は？
- ベータ研究プレビューであり、設定が変更される可能性; プロジェクト内の書き込みが許可さ れているため、破壊的な git コマンドも実行可能; Windows サポートは最も新しく、実績が少ない.
- Anthropic Sandbox Runtime (srt)は誰に向いているか？
- 自身のマシンでコーディングエージェントを実行するすべての開発者の第一層の防御策として最適です。
- チームや本番環境でAnthropic Sandbox Runtime (srt)を使うと費用はいくらか？
- 無料です。有料版はありません。
- Anthropic Sandbox Runtime (srt)は企業データを扱っても安全か？
- ローカルで実行され、外部にデータを送信しません。Apache 2.0 です。
- Anthropic Sandbox Runtime (srt)の代わりになるものは？
- 当サイトでレビューした中で最も近い代替はNVIDIA OpenShell, CC Safety Net 、 OpenSandboxです。
回答確認日：2026年10月24日