srt od Anthropic: sandbox pre AI agentov bez kontajnerov, ktorý nainštalujete jedným príkazom

Ak spúšťate AI agentov alebo MCP servery na vlastnom stroji, poznáte dilemu: chcete, aby pracovali čo najsamostatnejšie, ale nechcete im dať kľúče od celého systému. Anthropic teraz ako open-source (licencia Apache-2.0) vydal sandbox-runtime, skrátene srt — nástroj, ktorý obalí ľubovoľný proces do pravidiel pre súborový systém a sieť priamo na úrovni OS, bez Dockeru či virtuálky. Práve na ňom stojí sandbox v Claude Code.

Čo srt robí

srt využíva natívne sandboxovacie mechanizmy operačného systému: na macOS sandbox-exec so Seatbelt profilmi, na Linuxe bubblewrap. Sieťová komunikácia ide cez proxy na hostiteľovi, ktoré každý požiadavok porovnajú s vašimi zoznamami domén. Predvolené nastavenia sú „secure-by-default“:

• Sieť: všetko zamietnuté, povoliť treba domény explicitne,
• Zápis súborov: všade zamietnutý, povolíte len konkrétne cesty (napr. . a /tmp),
• Čítanie: predvolene povolené takmer všade — vrátane ~/.ssh. To je najčastejšia past: ak nechcete, aby agent čítal kľúče a credentials, pridajte denyRead pravidlá.

Pravidlá platia pre celý strom procesov, teda aj pre skripty a podprocesy, ktoré sandboxovaný príkaz spustí.

Inštalácia a prvé spustenie

npm install -g @anthropic-ai/sandbox-runtime

Potrebný je Node.js 22.12+. Na Linuxe pribaľte bubblewrap, socat a ripgrep. Windows podpora je zatiaľ v alfe. Potom stačí príkazu predpísať srt:

srt "curl example.com"        # zamietnuté — doména nie je v allowliste
srt "cat ~/.ssh/id_rsa"       # zamietnuté po pridaní denyRead pravidla

Konfigurácia žije v ~/.srt-settings.json:

{
  "network": { "allowedDomains": ["api.github.com", "*.npmjs.org"] },
  "filesystem": { "denyRead": ["~/.ssh", "~/.aws"], "allowWrite": ["."], "denyWrite": [".env"] }
}

Praktické nasadenie: MCP servery

Najrýchlejšia výhra je sandboxovanie MCP serverov. V .mcp.json zmeňte command z npx na srt a pôvodný príkaz posuňte do argumentov:

{
  "mcpServers": {
    "filesystem": {
      "command": "srt",
      "args": ["npx", "-y", "@modelcontextprotocol/server-filesystem"]
    }
  }
}

Server potom nedokáže zapisovať mimo povolené cesty ani volať nepovolené domény. Pre vlastných agentov existuje aj TypeScript knižnica: SandboxManager.initialize(config) spustí proxy a wrapWithSandbox() vráti obalený príkaz na spawnutie.

Prečo to stojí za pozornosť

Anthropic vo vlastnom internom používaní uvádza, že sandboxing znížil počet povolení (permission prompts) v Claude Code o 84 %. Číslo je self-reported, nie nezávislý benchmark — ale cieľ je jasný: vývojár, ktorý celý deň kliká „approve“, prestane čítať, čo schvaľuje. Pevná hranica nechá agenta voľne pracovať vo vnútri a pýta sa len na okraji.

Na čo si dať pozor

• Ide o beta research preview — API aj formát konfigurácie sa môžu zmeniť.
• Každá povolená doména je potenciálna exfiltračná cesta; README varuje aj pred domain frontingom.
• Proces dedí premenné prostredia, ak ich neoznačíte ako credentials.
• Na nepodporovanej platforme môže príkaz bežať bez sandboxu — nastavte failIfUnavailable, ak na tom záleží.

Pre tímy, ktoré chcú agentom dať viac autonómie bez úplnej dôvery, je srt dnes asi najjednoduchšia cesta, ako začať — a keďže ide o open-source, dá sa audítovať aj rozšíriť.