srt は Claude Code に組み込まれたサンドボックスと同じものか？
aiweekly によれば、Claude Code のサンドボックスを支える実行層が単体でオープンソース化されたものだ。README と照合できなかったので、完全に同じかどうかは自分で確認してほしい。
実務では、挙動は近いが同一とは限らないと仮定し、テスト結果を基準にする。
リサーチプレビューの段階で本番環境に使ってよいか？
リサーチプレビューは通常、インターフェースや設定形式が変わる可能性があり、まだ知られていない穴もありうることを意味する。社内ツールやテストには向くが、本番に入れる前にバージョンを固定し、問題が起きたときの退路を用意する。
顧客データやコンプライアンス要件がある場面では、状態が安定してから判断することを勧める。
サンドボックスがあれば、他の防御は不要か？
必要だ。サンドボックスはプロセスが触れるものを制限するが、許可された範囲内でエージェントが誤った判断をすること、たとえば触れることを許したファイルを削除することは止められない。
そのため、最小権限の認証情報、外向き通信の制限、取り消せない操作への人の承認と組み合わせる必要がある。
本当にブロックしていることをどう検証するか？
ブロックされると予想する操作を実際に実行する。保護されたパスの読み取り、許可していないドメインへの接続、子プロセスからの同じ操作の繰り返しの3つだ。3つともブロックされて初めて、ひとまず合格といえる。
リサーチプレビュー中は挙動が変わる可能性があるため、バージョンを上げるたびに同じテストを再実行する。
Anthropic は Claude Code のサンドボックスの実行層である sandbox-runtime（コマンドは srt）を Apache ライセンスでオープンソース化した。自作のエージェントや任意のコマンドを同じ制限で包めるようにするのが目的だ。先に断っておくと、ここでの詳細は aiweekly のまとめに基づいており、GitHub の README 自体は取得できなかった。そのため以下では、二次情報と確認できることを分けて書く。利用前に必ず README を確認してほしい。
確認できるのは方向性だ。これは Claude Code のサンドボックスを支える実行層で、単体で使えるようになり、リサーチプレビューの段階にある。価値は、エージェントが触れるファイルとネットワークを制限する仕組みを Claude Code から切り出し、自作エージェントごとに作り直さずに済むようにする点にある。Agent SDK や他のフレームワークでエージェントを作るチームにとって、これまで自分で組み立てていた部分だ。
以下は README や公式ドキュメントで照合していないので、本番に入れる前に1つずつ確認してほしい。対応する OS と基盤の隔離方式、ファイルシステムとネットワークのルールの形式と既定値、子プロセスが制限を引き継ぐか、設定の置き場所、DNS や HTTP 以外の通信を遮断できるか、リサーチプレビュー中に設定形式が変わる可能性だ。Apache ライセンスは複数のまとめが一致する点だが、本番利用の前にリポジトリの LICENSE を読んでおきたい。
まず本番の認証情報を置かない隔離したテスト機で始める。ホームディレクトリの機密ファイルを読もうとする、許可していないドメインに接続しようとするなど、悪さをするとわかっているコマンドを選び、ブロックされることを確認してから実際のエージェントを入れる。テストの要点は動くかどうかではなく、何を止められるかだ。制限は自分で検証した範囲でしか意味を持たない。エラーメッセージの見え方も記録しておく。エージェントはブロックされた操作に当たるとそのメッセージを読み、別の方法を試すことがあるからだ。
自作エージェントの最大のコストリスクは、無人の間に想定外のことをすることで、サンドボックスは安価な保険になる。このプロジェクトは無料でコードも確認できるので、テスト環境で半日かけて検証する価値はある。ただし詳細を確認するまでは、セキュリティレビューを通過した境界とは見なさない。複数の防御の1層として扱い、最小権限の認証情報、外向き通信の制限、人の承認と組み合わせる。コンプライアンス要件がある環境では、README とセキュリティモデルの説明が明確になるまで導入を待つ。