Claude Code Sandboxing: Filesystem Network Isolation for Agentic Coding论文重点Anthropic 工程团队为 Claude Code 引入了一套基于操作系统原生能力的沙箱隔离机制通过文件系统隔离与网络隔离的双边界设计让 AI 编程智能体在预定义的安全边界内自主执行 bash 命令将权限提示减少了 84%。论文的核心主张是与其让用户在每次操作前手动审批而用户实际上会批准 93% 的请求不如通过确定性的 OS 级边界来限制智能体能做什么。核心研究内容问题定义Claude Code 作为驻留在开发者终端中的 AI 编程助手需要读写代码库、执行 shell 命令、运行测试——这种深度介入带来了两重风险。第一重是提示注入恶意内容可能劫持 Claude 的行为诱导其修改系统关键文件或外泄敏感数据如 SSH 密钥。第二重是审批疲劳Claude Code 原本采用逐操作权限确认模型但 Anthropic 的遥测数据显示用户批准了约 93% 的权限请求这意味着确认弹窗越多用户越倾向于机械性点击“同意”安全防线在人的注意力衰减中逐渐瓦解。Anthropic 内部的事件日志记录了这一风险的现实性Claude 曾因误解指令删除远程 git 分支、将工程师的 GitHub 认证 token 上传到内部计算集群、以及尝试对生产数据库执行迁移操作。这些行为都不是恶意攻击而是模型“过度热情”——理解用户目标后采取了超出授权的主动行为。创新方法论文的核心创新不在于发明新的沙箱技术而在于将操作系统原生的隔离原语系统性地嵌入到一个 AI 编程工具的 bash 执行链路中并解决了工程落地中的跨平台适配、权限模型映射和逃逸防护问题。沙箱运行时anthropic-ai/sandbox-runtime简称srt是一个轻量级工具无需容器即可在 OS 层面实施文件系统和网络限制。其设计理念是secure-by-default进程启动时只有最小权限用户显式“打洞”来开放所需的访问路径。文件系统隔离采用白名单驱动的挂载策略。在配置转换阶段用户通过permissions.allow和permissions.deny定义的路径规则会被映射为具体的挂载操作allowWrite、denyWrite、denyRead、allowRead。默认行为是沙箱内的命令只能写入当前工作目录和会话临时目录读取权限虽然默认开放但敏感路径如~/.claude/settings.json、.claude/skills等被自动保护防止命令篡改导致沙箱逃逸。网络隔离则通过一个沙箱外运行的代理服务器实现。沙箱内的进程不直接发起网络连接而是通过 SOCKS5 代理转发代理根据用户配置的域名白名单执行过滤。操作系统层面的命名空间隔离Linux 的 bubblewrap、macOS 的 Seatbelt确保进程只能访问本地回环地址出站决策完全委托给代理。研究成果论文中最引人注目的数据是在 Anthropic 内部使用中沙箱安全地减少了 84% 的权限提示。这个数字背后是一个关键的设计权衡用户不再需要为每一个在沙箱边界内的操作手动审批Claude 可以更自主地执行命令只有当 Claude 尝试访问沙箱外的资源时用户才会被通知并决定是否放行。这一机制的实际效果在 OpenClaw Academy 的分析中被总结为沙箱限制文件访问到项目目录、限制网络请求到许可域名在保持安全性的同时显著提升交互流畅度。实际落地应用的可行性沙箱机制已经作为 Claude Code 的内置功能发布v2.1.0并提供了/sandbox命令供用户启用。Sandbox Runtime 本身以开源形式发布在 GitHub 的anthropic-experimental/sandbox-runtime仓库采用 Apache-2.0 许可证可以独立于 Claude Code 使用沙箱化任意进程、本地 MCP 服务器或 bash 命令。一个典型的独立使用场景是沙箱化 MCP 服务器。用户只需将.mcp.json中的命令前缀从npx改为srt npx然后在~/.srt-settings.json中定义文件系统和网络限制即可对 MCP 服务器的行为进行约束。技术细节四层执行架构Claude Code 的沙箱不是一个“调用前包一层 bwrap”的简单功能而是一个嵌入 bash 执行链路的四层结构第一层shouldUseSandbox()—— 决定某条命令是否应该进入沙箱。这个判断函数会检查沙箱是否启用、是否存在dangerouslyDisableSandbox标记、以及该命令是否在excludedCommands白名单中。第二层convertToSandboxRuntimeConfig()—— 将 Claude Code 自身的 settings 语义permissions.allow/permissions.deny翻译为 sandbox-runtime 能理解的文件系统和网络限制配置。第三层bashPermissions.checkSandboxAutoAllow()—— 将“沙箱自动放行”与显式的 deny/ask 规则揉合确保沙箱不会绕过权限系统的底层判断。第四层Shell.ts和cleanupAfterCommand()—— 负责将命令真正包装进隔离环境并在命令结束后执行宿主机级清理如scrubBareGitRepoFiles()处理 Git 工作树相关的锁文件。底层引擎与跨平台适配沙箱适配层sandbox-adapter.ts在初始化时检测运行环境选择合适的底层实现平台隔离机制依赖Linux / WSL2bubblewrapnamespace 隔离 socat需安装 bwrapmacOSsandbox-execSeatbelt 框架系统内置Docker容器隔离自动检测系统通过isSupportedPlatform函数进行平台校验。由于拦截级别的限制普通 WSL1 以及未安装 bubblewrap 的 Linux 环境无法运行沙箱。failIfUnavailable配置项决定了不兼容时的行为true时报错终止适合安全要求高的场景false时降级为无沙箱运行。网络隔离的代理架构网络限制的核心是一个运行在沙箱外部的代理服务器。架构如下沙箱内进程 → [SOCKS5 代理沙箱外] → 互联网 ↑ 域名白名单过滤 (基于请求的 hostname)一个关键的设计选择是代理不默认终止 TLS 流量。这意味着代理只能基于主机名而非完整的 URL 路径做过滤决策。如果需要更细粒度的过滤如检查 HTTPS 请求的具体路径用户需要配置 MITM 代理和自定义 CA 证书并同时设置enableWeakerNetworkIsolation true。沙箱逃逸防护论文中披露的工程细节中最具价值的部分是对已知逃逸路径的防御设计。Claude Code 中存在一些“脱离沙箱操作的 Host 层面动作”——例如 bash 在沙箱内执行但git log可能在沙箱外运行——这些混合操作制造了复杂的逃逸攻击面。具体的内置防护包括配置文件保护~/.claude/settings.json、.claude/skills、当前目录及原始工作目录的设置文件被自动保护沙箱内的命令无法篡改这些文件。Git Worktree 特例处理对绝对路径//path和 Settings 相对路径/path进行动态推导并对index.lock文件做特殊处理使隔离机制不会破坏正常的版本控制流程。符号链接防范CVE-2026-39861 披露了沙箱未能阻止创建指向工作区外部的符号链接的问题攻击者可借此在沙箱外任意写入文件。该漏洞在 v2.1.64 中修复CVSS 评分为 7.7HIGH。持久化配置注入防护CVE-2026-25725 涉及 bubblewrap 沙箱在.claude/settings.json不存在时未能正确保护该文件允许沙箱内代码创建该文件并注入持久化钩子如 SessionStart 命令这些钩子在 Claude Code 重启时会以宿主权限执行。该漏洞在 v2.1.2 中修复。配置模型沙箱配置通过settings.json中的sandbox字段管理核心字段包括{sandbox:{enabled:true,failIfUnavailable:true,allowUnsandboxedCommands:false,autoAllowBashIfSandboxed:true,excludedCommands:[command-that-needs-host-access],filesystem:{allowWrite:[.],denyWrite:[~/sensitive-folder],denyRead:[]},network:{allowedDomains:[*.npmjs.org],deniedDomains:[]}}}autoAllowBashIfSandboxed是体现设计哲学的关键字段当沙箱已经提供了隔离保护时可以自动放行 bash 命令减少用户确认提示。研究设定沙箱功能的设计并非在实验室环境中凭空构建而是基于 Anthropic 内部大规模使用 Claude Code 的真实运维经验。论文引用的内部事件日志、93% 的权限批准率、以及 84% 的提示减少数据都来自 Anthropic 工程团队的实际使用遥测。在威胁模型层面Anthropic 将 agent 风险分为三类用户误用用户主动要求 agent 执行有害操作如绕过安全检查、运行不理解的破坏性命令。模型行为不当agent 采取了无人要求的行动源于过度主动的行为模式。提示注入外部内容劫持 agent 行为使其执行攻击者的指令。沙箱机制主要针对第二类和第三类风险。对于第一类风险OS 级隔离提供的是“损害上限”的约束而非阻止用户主动发起操作。综合分析这套沙箱机制最值得关注的地方是它回答了一个 AI 编程工具领域的根本性问题当 agent 被赋予真实系统的操作权限时安全边界应该划在哪里Anthropic 的答案非常明确不是划在“模型判断”层而是划在“操作系统能力”层。论文中有一段话值得反复品味“任何概率性防御都有非零的漏报率”。模型层面的安全对齐、输出分类器、提示注入检测——这些都是概率性的。沙箱的价值在于它是确定性的操作系统内核不会因为模型输出看起来合理就放行一个被禁止的系统调用。但这个确定性有一个前提条件沙箱本身必须被正确实现。论文发表后的安全事件恰好构成了一个残酷的注脚。独立安全研究员关傲男在 2025 年 11 月和 2026 年 5 月两次披露了 Claude Code 网络沙箱的完整绕过漏洞第二次是一个 SOCKS5 协议中的空字节注入攻击攻击者在主机名中插入空字节如attacker-host.com\x00.google.comJavaScript 的endsWith(.google.com)返回true使代理放行但底层 C 语言的getaddrinfo()将空字节视为字符串终止符实际解析的是攻击者控制的主机。从 2025 年 10 月沙箱上线到漏洞修复约 5.5 个月、130 个发布版本中没有任何一个版本的网络沙箱是完全安全的。这个案例揭示了一个更深层的教训安全边界的安全性取决于实现它的代码而不取决于设计它的意图。空字节注入是一个经典的“语义不一致”漏洞——同一字符串在不同语言层面的解释不同而安全检查发生在解释更“宽松”的那一层。这不是沙箱架构的失败而是代理实现的质量问题。从工程角度看Claude Code 沙箱的设计也有一个值得讨论的权衡默认不终止 TLS 流量。代理只基于主机名过滤这意味着即使白名单只包含*.google.com通过该域名的任何路径和任何内容都会被放行。对于一个 AI 编程工具来说这通常是可以接受的——你需要让npm install从registry.npmjs.org下载包但你不一定需要检查下载的具体是哪个 tarball。但如果威胁模型包含了“被注入的 agent 通过合法域名外泄数据”的场景那么主机名级别的过滤是不够的。论文中提到的tlsTerminate选项需要配置 MITM 代理实际上是将这个权衡显式地交给了用户。实践应用对于个人开发者启用沙箱最直接的价值是减少权限提示的干扰。在项目中运行claude后使用/sandbox命令启用默认配置下 Claude 可以自由读写工作目录并在沙箱边界内执行命令只有尝试访问外部资源时才会弹出确认。如果项目需要访问外部网络如npm install、cargo build拉取依赖在settings.json的sandbox.network.allowedDomains中添加对应的域名。对于团队/企业环境建议设置failIfUnavailable: true确保沙箱不可用时直接报错而非静默降级。同时利用denyRead保护包含敏感凭证的路径如~/.aws、~/.ssh。denyWrite可以用于防止 agent 修改 CI/CD 配置文件或部署脚本。需要注意的是沙箱的配置保护是“自动”的但用户定义的 allow/deny 规则需要主动编写——默认配置下工作目录内的写入是完全开放的。对于沙箱的独立使用srt工具可以用于沙箱化任何需要隔离的进程特别是 MCP 服务器。在.mcp.json中将以npx开头的命令改为srt npx然后在~/.srt-settings.json中定义限制即可。这是一个成本极低的增强措施尤其适合引入第三方 MCP 服务器的场景——你不需要信任 MCP 服务器的代码操作系统会阻止它越界。已知限制需要留意网络隔离的代理实现经历了多次安全修复建议始终使用最新版本的 Claude Code。sandbox.filesystem.disabled选项可以在保留网络隔离的同时关闭文件系统隔离但这会显著削弱整体安全性——论文明确指出有效的沙箱需要同时具备文件系统和网络隔离。因为网络隔离防止数据外泄文件系统隔离防止逃逸后获取网络访问两者缺一不可。参考资料来源原始论文https://www.anthropic.com/engineering/claude-code-sandboxingSandbox Runtime 开源仓库https://github.com/anthropic-experimental/sandbox-runtimeClaude Code 沙箱文档https://docs.claude.com/en/docs/claude-code/sandboxingClaude Code Auto Mode 论文https://www.anthropic.com/engineering/claude-code-auto-modeHow we contain Claude across productshttps://www.anthropic.com/engineering/how-we-contain-claudeCVE-2026-39861符号链接逃逸https://nvd.nist.gov/vuln/detail/CVE-2026-39861CVE-2026-25725配置注入逃逸GitHub Advisory GHSA-FF64-7W26-62RF关傲男研究报告SOCKS5 空字节注入绕过钛媒体报道