A Anthropic abriu o código do Sandbox Runtime (srt), uma ferramenta para impor restrições de sistema de arquivos e rede a processos arbitrários — incluindo agentes de IA, servidores MCP e comandos de shell — sem exigir que cada execução seja colocada em um container completo. O projeto é apresentado como uma prévia de pesquisa desenvolvida para o Claude Code. Ele é relevante porque dá uma resposta prática a um dos riscos centrais de agentes: um modelo que ganha acesso a terminal e ferramentas não deve receber, por padrão, acesso irrestrito às credenciais, aos arquivos e à rede da máquina.
O que é o Anthropic Sandbox Runtime
O sandbox-runtime é um projeto open source da Anthropic cujo comando srt envolve outro processo com limites de segurança. A proposta é controlar o que o processo e toda a sua árvore de filhos podem ler, gravar e alcançar pela rede. Isso cobre desde uma chamada de curl até uma ferramenta acionada por um agente de código.
Não é uma nova plataforma de agentes e não decide se uma tarefa é segura. É uma camada de execução. Um agente pode continuar errando instruções ou produzindo código incorreto; o Sandbox Runtime busca reduzir o raio de dano se ele tentar tocar um arquivo sensível, escrever fora do diretório autorizado ou fazer conexões que não foram permitidas.
Por que agentes exigem uma fronteira de execução
Um chatbot comum recebe texto e devolve texto. Um agente, por sua vez, pode chamar terminal, Git, navegador, banco de dados, APIs e extensões. Isso torna o modelo útil para tarefas de engenharia, mas cria uma combinação perigosa: o mesmo processo que interpreta conteúdo não confiável pode executar comandos em um ambiente que guarda chaves SSH, tokens de nuvem, arquivos corporativos e configurações locais.
A documentação do projeto destaca dois planos de isolamento. O primeiro é o de sistema de arquivos: regras de leitura e escrita impedem que uma tarefa acesse áreas fora do que foi explicitamente autorizado. O segundo é o de rede: uma política permite limitar domínios e conexões. A combinação é essencial. Bloquear apenas arquivos não impede exfiltração por rede; bloquear apenas a rede não impede que um processo altere um repositório, uma configuração ou um artefato local.
Como funciona em macOS, Linux e Windows
O projeto não cria um mecanismo de virtualização próprio. Ele usa primitivas nativas ou próximas do sistema operacional. No macOS, utiliza sandbox-exec com perfis Seatbelt gerados dinamicamente. No Linux, combina bubblewrap com isolamento de namespace de rede e filtragem por proxy. No Windows, ainda marcado como alpha, executa processos sob uma conta local dedicada e usa o Windows Filtering Platform para criar uma barreira de saída de rede.
Essa diferença importa operacionalmente. No Linux, a documentação lista bubblewrap, socat e ripgrep como dependências. Uma equipe não deve assumir que uma política testada no macOS terá as mesmas limitações, mensagens de erro ou comportamento no Windows. A própria Anthropic classifica o projeto como Beta Research Preview e avisa que APIs e formatos de configuração podem mudar.
Instalação e uso básico
O pacote é distribuído no npm com o comando abaixo. Instalar não torna automaticamente todas as sessões de agentes seguras: é necessário configurar e aplicar as regras ao processo que se quer executar.
npm install -g @anthropic-ai/sandbox-runtime
# Executa um comando sob o runtime
srt "curl anthropic.com"O exemplo ilustra o invólucro de execução, não uma política completa. Em um uso real, a equipe deve começar com o menor conjunto possível de diretórios graváveis e destinos de rede. Também precisa testar falhas: uma política útil deve bloquear uma tentativa fora do escopo de forma observável, registrar o evento e não empurrar o desenvolvedor a desativar toda a proteção para concluir o trabalho.
O que ele protege — e o que não protege
- Ajuda a limitar: escrita fora de diretórios permitidos, leitura de caminhos negados, chamadas de rede fora da política e processos filhos que tentem escapar da tarefa original.
- Não garante: que o modelo entenda a intenção do usuário, que o código produzido seja correto, que uma dependência seja confiável ou que um domínio autorizado seja benigno.
- Não substitui: gestão de segredos, revisão humana, permissões mínimas em APIs, ambientes descartáveis e logs de auditoria.
Esse último ponto é especialmente importante para servidores MCP. Um MCP pode expor ferramentas poderosas a um modelo, mas a segurança do protocolo não elimina os privilégios do processo que o hospeda. Executá-lo sob uma política de arquivos e rede reduz as consequências de uma ferramenta vulnerável ou de uma instrução maliciosa vinda de um documento, página web ou issue.
Limitações técnicas que merecem atenção
A documentação menciona limites específicos de plataforma. No Linux, versões de bubblewrap e certas opções relacionadas a namespaces podem mudar as garantias oferecidas. No Windows, o recurso ainda é alpha e há uma etapa elevada de instalação para preparar a conta e os filtros. Além disso, qualquer política que aceite sockets Unix sem restrição, loopback amplo ou caminhos excessivamente genéricos pode reabrir uma rota de escape operacional.
Há também um limite de modelo mental: isolamento não equivale a invisibilidade. Se a política permite ler o repositório e chamar um domínio de IA, o processo ainda pode enviar trechos do repositório para esse destino. A configuração precisa refletir a classificação do dado, e não somente a conveniência do fluxo de desenvolvimento.
Aplicações práticas para equipes brasileiras
Para uma empresa que está experimentando agentes de código, o ponto de partida pode ser um diretório de trabalho descartável, acesso somente de leitura ao repositório e escrita limitada a uma pasta de patches. Para automações de atendimento ou pesquisa, a lista de domínios permitidos deve incluir apenas APIs necessárias. Para auditoria de código legado, o agente pode ler uma cópia sanitizada sem receber tokens de produção, chaves de CI/CD ou acesso à rede interna.
Essas escolhas não dependem do fornecedor do modelo. Um runtime desse tipo pode ser útil ao testar Claude Code, outro agente local, um servidor MCP de terceiros ou scripts convencionais. O valor cresce justamente porque a fronteira é aplicada ao processo, e não à promessa comportamental de uma ferramenta específica.
Análise do NoticIA
Na análise do NoticIA, a abertura do Sandbox Runtime é um sinal de maturidade do ecossistema de agentes: a discussão está saindo do “o agente consegue executar?” para “quais poderes ele precisa ter para executar com segurança?”. A decisão de não depender exclusivamente de containers reduz atrito em máquinas de desenvolvimento, mas não torna o controle simples. A qualidade final dependerá das políticas que cada equipe escrever, da clareza dos logs e de testes deliberados de negação.
A recomendação prática é tratá-lo como defesa em camadas. Comece com uma política conservadora, use credenciais de curta duração, mantenha revisão humana para operações irreversíveis e teste ataques de prompt injection contra fluxos que leem conteúdo externo. A ferramenta pode diminuir permissões; ela não elimina a necessidade de desenhar o sistema para falhar de forma segura.
Descubra mais sobre noticiAI
Assine para receber nossas notícias mais recentes por e-mail.
