Anthropic, yapay zekâ ajanları için konteyner gerektirmeyen sandbox-runtime aracını açık kaynağa açtı

Anthropic, yapay zekâ ajanlarını ve komut satırı programlarını konteyner kurmadan işletim sistemi düzeyinde sınırlayan açık kaynaklı sandbox-runtime (srt) aracını yayımladı. Şirketin açıklamasına göre araç, Claude Code'un sanal alanda çalışan bash aracının arkasındaki mekanizmayı oluşturuyor ve yalnızca Claude Code ile sınırlı değil.

npm üzerinden @anthropic-ai/sandbox-runtime adıyla dağıtılan paket v0.0.81 sürümünde, yaklaşık 11,4 MB boyutunda ve Apache-2.0 lisansıyla sunuluyor. Araç Node.js 22.12 ve üzeri sürümleri gerektiriyor; komut satırı aracı olarak ya da TypeScript kütüphanesi biçiminde kullanılabiliyor.

Anthropic sandbox-runtime ne işe yarıyor?

srt, çalıştırılan her süreci dosya sistemi ve ağ kısıtlarıyla sarıyor. Kısıtlar yalnızca ana süreci değil, betikler ve alt süreçler dahil tüm süreç ağacını kapsıyor. Kurulumun ardından komutun başına srt eklemek yeterli oluyor.

Araç, işletim sisteminin kendi yalıtım mekanizmalarını kullanıyor. macOS'ta dinamik olarak üretilen Seatbelt profilleriyle çalışan sandbox-exec devreye giriyor; burada tek ek gereksinim ripgrep. Linux'ta ağ ad alanı kaldırılmış bubblewrap kullanılıyor ve bunun yanında socat ile ripgrep gerekiyor. Windows desteği ise alfa aşamasında; ayrı bir srt-sandbox hesabı, Windows Filtering Platform tabanlı bir ağ bariyeri ve dosya erişim listeleriyle sağlanıyor.

Ağ ve dosya erişimi nasıl sınırlanıyor?

Trafik yalnızca ana makinede çalışan HTTP ve SOCKS5 proxy'leri üzerinden dışarı çıkabiliyor. Linux'ta bu proxy'ler sanal alana bağlanan Unix soketlerinin arkasında duruyor; macOS'ta Seatbelt profili tek bir yerel bağlantı noktasına izin veriyor. Proxy'ler daha sonra kullanıcının tanımladığı alan adı izin ve yasak listelerini uyguluyor.

Varsayılan ayarlar şöyle: Okuma işlemleri yasaklanmadıkça her yerde serbest, yazma işlemleri izin verilmedikçe her yerde kapalı, ağ erişimi ise bir alan adı izin listesine eklenmedikçe engelli. Anthropic ekibi, iki sınırın birlikte gerektiğini savunuyor: Ağ yalıtımı olmadan istem enjeksiyonuna maruz kalan bir ajan SSH anahtarlarını dışarı sızdırabilir, dosya yalıtımı olmadan ise sanal alandan kaçıp ağa erişebilir.

MCP sunucuları ve kendi ajanlarınız nasıl çalıştırılır?

Bir MCP sunucusunu sanal alana almak için .mcp.json dosyasındaki komutu npx yerine srt olarak değiştirmek ve özgün komutu argüman olarak vermek yeterli. Kurallar ~/.srt-settings.json dosyasında tanımlanıyor. Kendi ajanınız için kütüphanedeki SandboxManager kullanılıyor: initialize(config) çağrısı proxy'leri başlatıyor, wrapWithSandbox() ise çalıştırılabilecek sarmalanmış komut metnini döndürüyor.

Yüzde 84 rakamı ne anlama geliyor?

Anthropic, sanal alanın Claude Code'daki izin istemlerini yüzde 84 azalttığını bildiriyor. Bu, şirketin kendi iç kullanımına dayanan bir veri; bağımsız bir kıyaslama testinin sonucu değil. Hedef, geliştiricilerin gün boyu "onayla" düğmesine basarken neyi onayladıklarını okumayı bırakmasının önüne geçmek. Sabit bir sınır, ajanın içinde serbest çalışmasına ve yalnızca sınırın kenarında izin istemesine olanak tanıyor.

Güvenlik ile çalışabilirlik arasındaki denge

Kodlama ajanları yalnızca dosya düzenlemiyor; bağımlılık kuruyor, dokümantasyon indiriyor ve API çağırıyor. İzin listesi çok dar tutulursa npm install başarısız oluyor, çok geniş tutulursa sanal alan pek bir şey korumuyor. srt bu orta yolu bulmak için birkaç ayar sunuyor: *.npmjs.org ya da api.example.com:443 gibi joker karakterli ve portlu girdiler, hiçbir kuralın kapsamadığı adresler için modelin okuyabileceği bir gerekçe döndüren soru geri çağrısı, yalnızca tek bir çalıştırma için kayıt defteri açan komut bazlı izin listeleri ve komut çalışırken ağ listelerini değiştiren --control-fd canlı güncelleme seçeneği.

Araç ayrıca izin verilen bir adın loopback veya bulut metadata IP'lerine çözümlenmesini engelleyen adres kontrolü ve yasaklı alan adları için ajanı onaylanmış alternatife yönlendiren gerekçe bildirimleri içeriyor.

Neden önemli?

Yapay zekâ ajanlarının yerel dosyalara ve ağa erişebildiği kurulumlarda güvenlik sınırını belirlemek giderek kritik hale geliyor. Konteyner gerektirmeyen bir yaklaşım, geliştiricilerin mevcut makinelerinde ve CI ortamlarında ek altyapı kurmadan çalışabilmesini sağlıyor. Anthropic aracı açık kaynak olarak yayımlayarak yalnızca kendi ürünüyle sınırlı olmayan, üçüncü taraf ajanlara ve yerel MCP sunucularına da uygulanabilen bir yalıtım katmanı sunmuş oldu. Aracın Türkiye'deki geliştiriciler için ayrı bir erişim kısıtı içerip içermediğine dair bir açıklama ise kaynakta yer almıyor.

Araç şu an beta araştırma önizlemesi statüsünde; Windows desteğinin alfa aşamasında olduğu belirtiliyor. Kod, Anthropic'in GitHub deposundan ve mühendislik yazısından incelenebiliyor.