anthropics/sandbox-runtime

解决什么问题

跑一个 Agent、一个来路不明的 MCP server，或者一段没看过的 npm 脚本，等于把你的完整用户权限交出去：它能读 ~/.ssh，能把环境变量里的密钥带出去，能访问任何主机。用容器隔离能解决，但为了一条一次性命令还要构建镜像、起守护进程、规划挂载，成本过高。srt 用操作系统自带的机制把任意进程关进笼子，默认拒绝，你只显式开需要的那几个口子。

有什么不同

多数人的第一反应是用 Docker 或整台 VM 来隔离子进程。srt 不打包任何东西，而是组合系统既有的原语：macOS 上用 Seatbelt profile，Linux 上用 bubblewrap 加网络命名空间，Windows 上用专门的本地账户配合 Windows Filtering Platform 做出口管控；网络流量统一走宿主侧的 HTTP 与 SOCKS5 代理，由代理执行域名黑白名单。由此得到的是按命令粒度的策略、没有镜像要维护，而且网络默认是白名单而非黑名单。它同时提供库形式，方便工具链复用同一套策略模型，并且约束覆盖整棵进程树，不止第一个可执行文件。

适合谁

适合在构建 Agent 系统的开发者，尤其是要接入自己没写过的 MCP server 的人；也适合想在本机或 CI 上跑不可信脚本、又不想上容器的场景。由于它明确是 beta 阶段的研究预览、配置格式可能变化，需要稳定且可审计的沙箱 API 的团队，或者已经统一用容器隔离并配有成熟策略引擎的团队，应该继续用现有方案。

上手成本

需要 Node.js 并全局安装（npm install -g @anthropic-ai/sandbox-runtime），Linux 上还需要 bubblewrap 及相关系统权限。三个平台的行为并不完全一致，README 自己就列出了 Windows 在线程令牌替换和服务代发流量方面的已知限制，跨平台的策略一致性没有保证。项目明确标注 beta、API 可能变动，而且默认策略相当严格：无网络、默认路径之外不可写、读取默认不限制，除非你主动收紧。配置文件写错会直接报错退出而不是静默回落——这个取舍是对的，但意味着配置必须先正确才能跑起来。

点评

这是 Anthropic 出品的一块目标明确、思路上很扎实的基础设施，README 里关于「文件隔离与网络隔离必须同时具备」的论证比大多数沙箱工具都严谨。不过项目大约一年，仍标注为 beta 研究预览；能观察到的热度是 1 天上过日榜、约 6,400 星，属于真实的自然关注而非炒作式暴涨。方案本身站得住，主要风险是预览期内配置与平台行为还会变。现在拿来给 Agent 加固、做实验是值得的，但还不适合作为你在生产环境里需要对外担保的隔离保证。