为什么这件事现在更关键
这两年代码 Agent 变得越来越“能动手”：以前更像提建议，现在更像直接下场干活。问题也随之变了——弹窗多了，人会麻；弹窗少了，又怕兜不住风险。Anthropic 这篇真正想做的，不是把弹窗做得更花，而是把规则前移：先把可写目录和可连网络定好，再让模型在边界内连续执行。文中 约 84% 为内部使用叙事，以当前文档为准。[1]
先扫一眼
- 主线：审批疲劳 → 沙箱在做什么 → 文件与网络两道边界 → Web/本地差异 → 对你意味着什么。
- 想跳读：找
### 深度解析与 材料勘读；文末有 结论与讨论 与 延伸阅读。
一、问题：权限模式 + 审批疲劳
Claude Code 默认偏只读：写文件、跑命令往往要确认。echo、cat 这类低风险操作可以自动放行，但多数动作仍要「批准」。[1]
点多了，approval fatigue 就会出现：你不是不在乎安全，而是根本看不过来。产品侧又希望 Agent 更自主，于是思路变成：边界内少打扰，越界再确认。[1]
二、方案演进：沙箱不是“多一道确认”，而是“换一套默认”
思路很直白：把允许执行的范围提前定义在沙箱里。模型在边界内可以多跑几步而少弹窗；边界外再拉回人工确认。内部使用数据里，沙箱可以显著减少权限提示次数（文中 约 84%）——但那是在特定工作流与策略下的叙事，落到你头上要以自家审计为准。[1]
三、机制拆解：为什么一定是文件 + 网络双边界
文件系统隔离：只允许访问/修改指定目录，降低 prompt injection 后乱改系统敏感文件的路径。[1]
网络隔离：只允许连到批准的服务器，降低外泄与恶意下载风险。[1]
缺一条都危险：没有网络隔离，被劫持的 Agent 仍可能把密钥外传；没有文件隔离，先写本地再借别的通道出网——两道一起叠，才构成完整的防御故事。[1]
深度解析：Unix domain socket 代理与策略归属
事实：出站流量经代理做域名策略与用户确认；越界即提示。[1]
原文观点：把「能不能连」从模型侧挪到基础设施。[1]
本文解读：复杂度最终会落到代理与规则引擎上。安全团队如果不给出可执行白名单，工程侧很容易又退回“一路点允许”。
四、工程落地：Sandboxed bash 与 Web 端代理路径
新沙箱运行时：beta、研究预览（research preview） 形态；可配置目录与网络主机，不必自建容器；可用于 bash、进程、Agent、MCP server 等。官方已把运行时 open source 放出，便于自建 Agent 集成——见 GitHub 上的 anthropic-experimental/sandbox-runtime。[1]
实现上依赖 Linux 的 bubblewrap、macOS 的 Seatbelt 等 OS 级能力，覆盖命令及其子进程。[1]
文件侧常见叙事是：当前工作目录可读写，阻止修改其外路径（可配置例外）。网络侧：经 Unix domain socket 连到沙箱外的 proxy，由代理做域名策略与新域用户确认；可自定义规则加强出站策略。[1]
越界访问会立即提示，由用户决定是否放行。[1]
五、应用边界：哪些场景收益大，哪些场景要谨慎
在 Web 端，官方做法是把会话放进隔离沙箱，再把 git 凭据等敏感信息留在沙箱外，由代理做鉴权和校验后转发请求。[1]
这套架构在“高自主 + 高频操作”里通常很值，但在“低频脚本 + 强人工把关”里，治理成本可能反过来更高。是否启用，最后还是看你们自己的审计与事故复盘数据。
材料勘读：发布稿里没写清的事：84% 与「你的组织」
事实：约 84% 减少权限提示为 Anthropic 内部使用叙事。[1]
原文观点：沙箱提升自主与安全。[1]
本文解读（推断）：该比例依赖 默认工作流与策略；若仓库结构或 CI 需频繁越界，体感会不同——应以 自家审计日志 为准，勿当对外 SLA。
结论与讨论
技术坐标
这篇把 Claude Code 从“每次弹窗”推到 策略化边界 + OS 级隔离。放在 MCP、长程 harness 这条线上看，它补的是 Agent 落地三件套里的“权限面”。
批判性问题
- 沙箱 规则 是否与 供应链（依赖安装） 冲突？
- 开源预览 与你们合规要求的 支持合同 是否匹配？
- Web 端凭证外置后，代理 是否成为新单点故障？
独立判断（事实 / 原文观点 / 本文解读）
| 类型 | 内容 |
|---|---|
| 事实 | 原文 URL；bubblewrap/Seatbelt；84% 为文内叙述。[1] |
| 原文观点 | 文件+网络双边界；凭证不进入同舱。[1] |
| 本文解读 | 沙箱解决 误操作与部分注入，不解决 恶意 Skill/供应链——仍需纵深防御。边界内若规则过宽，仍可能被诱导做「白名单里合法、业务上有害」的事——策略收紧与审计不能省。[1] |
参考文献与延伸阅读
- [1] Beyond permission prompts: Claude Code sandboxing — Anthropic Engineering，2025-10-20
- [2] Claude Code · Sandboxing — 官方安全模型与配置（docs.claude.com）
- [3] sandbox-runtime（open source research preview） — GitHub 上的沙箱运行时，自建 Agent 可对照集成
- [4] Claude Code on the web — Web 端隔离与 git 代理说明（文档）
- [5] Claude Code on the web（上线稿） — 与工程博文互补的阅读入口
- Best practices for Claude Code — 产品文档（与沙箱配置交叉查阅）
