Anthropic lanza sandbox-runtime para agentes de IA

Anthropic publicó sandbox-runtime, una herramienta de código abierto que encierra cualquier proceso en límites de archivos y de red sin levantar un contenedor. El paquete se distribuye en npm como @anthropic-ai/sandbox-runtime y su versión 0.0.81 ocupa cerca de 11,4 MB descomprimida, usa licencia Apache-2.0 y exige Node.js 22.12 o posterior.

Para un equipo que ya tiene agentes ejecutando comandos en la máquina de un desarrollador, la pregunta relevante no es si el agente funciona, sino qué puede tocar sin pedir permiso. Ese es exactamente el hueco que esta herramienta intenta cerrar.

¿Qué es sandbox-runtime y por qué no necesita contenedores?

La propuesta es simple de describir: se instala globalmente y luego se antepone el comando srt a la instrucción que se quiere ejecutar dentro del entorno restringido. No está atada a Claude Code: sirve para servidores MCP, agentes propios y comandos de terminal, a través de una interfaz de línea de comandos o de una biblioteca de TypeScript.

La diferencia frente a un contenedor es que no crea una máquina aislada adicional para cada ejecución. Usa las capacidades de aislamiento que ya existen en el sistema operativo anfitrión, lo que permite envolver procesos que ya corren. La contrapartida es que su comportamiento y sus dependencias cambian según la plataforma.

Las restricciones se aplican al árbol completo de procesos, incluidos los scripts y subprocesos que dispara el comando original. La lógica: si el agente delega una tarea, esa tarea no debería heredar accesos que nadie autorizó.

Los valores por defecto siguen una regla asimétrica. Las lecturas se permiten en general salvo que una regla las prohíba; las escrituras se bloquean salvo autorización expresa; y la red se deniega por defecto, con excepciones que se abren mediante una lista de dominios permitidos.

¿Cómo aplica los límites en macOS, Linux y Windows?

En macOS usa sandbox-exec con perfiles Seatbelt generados dinámicamente; la única dependencia extra señalada es ripgrep. El perfil habilita un puerto de localhost, y un proxy que corre en el equipo anfitrión verifica si el dominio solicitado está autorizado.

En Linux usa bubblewrap y elimina el espacio de nombres de red del proceso aislado, de modo que el tráfico sale por proxies y no por conexión directa. Requiere además socat y ripgrep, y los proxies quedan detrás de sockets Unix montados con bind dentro del sandbox.

En Windows el soporte sigue en fase alfa y la estructura es distinta: una cuenta dedicada llamada srt-sandbox, reglas explícitas de listas de control de acceso para archivos y una barrera de salida con Windows Filtering Platform. El tráfico solo puede salir por proxies HTTP y SOCKS5 que se ejecutan en el host. No es una versión estable equivalente a macOS o Linux.

Anthropic sostiene que restringir solo una de las dos superficies no alcanza. Un agente expuesto a una inyección de prompt podría usar la red para exfiltrar claves SSH; un proceso con acceso amplio a archivos podría salir del entorno previsto. La combinación de ambos controles busca reducir esos riesgos, sin que eso signifique que cualquier configuración quede resuelta.

¿Cómo se configura en un proyecto real?

Las reglas viven en ~/.srt-settings.json y combinan dominios autorizados, rutas de lectura bloqueadas, ubicaciones donde sí se puede escribir y excepciones para archivos sensibles. El ejemplo publicado por el proyecto permite conexiones a api.github.com y .npmjs.org, bloquea la lectura de ~/.ssh y prohíbe modificar .env, aunque autoriza escrituras en el directorio de trabajo.

Para poner un servidor MCP bajo estas reglas, el cambio es de una línea: en el archivo .mcp.json se reemplaza npx por srt y se pasa la instrucción original como argumento. Para agentes propios, la biblioteca expone SandboxManager: se llama a initialize(config) para levantar los proxies y luego wrapWithSandbox() devuelve una cadena de comando lista para lanzar.

La herramienta incluye varios ajustes para no volver las reglas rígidas: comodines y puertos en los dominios, una respuesta de consulta para destinos no contemplados, listas de autorización por comando, actualizaciones de reglas de red mientras un proceso sigue activo mediante –control-fd, verificación de direcciones resueltas para bloquear destinos de loopback o metadatos de nube, y motivos que explican por qué se deniega un dominio.

¿Qué significa el 84% menos de avisos de permisos?

Anthropic reporta que el sandbox redujo 84% los avisos de permisos en su uso interno de Claude Code. Es una cifra autoinformada: no proviene de una evaluación externa ni de un benchmark independiente, y la información disponible no la presenta como tal.

El problema que ataca es real y conocido: la fatiga de aprobación. Un desarrollador que aprueba solicitudes todo el día termina aprobando sin leer. La idea de una frontera fija es que el agente trabaje libre dentro de un perímetro ya aceptado y pida intervención solo al llegar al borde. Pero el porcentaje describe una experiencia interna de Anthropic, no demuestra que el efecto se replique en todos los proyectos ni que configuraciones distintas produzcan el mismo resultado.

¿Cómo se compara con Codex CLI, Docker Sandboxes y E2B?

La comparación publicada por MarkTechPost ubica a sandbox-runtime junto a otras tres alternativas. Codex CLI de OpenAI también usa primitivas del sistema operativo, con red desactivada en el modo workspace-write y licencia Apache-2.0, aunque la información citada no detalla una lista de dominios permitidos. Docker Sandboxes recurre a microVM locales y permite elegir políticas de red. E2B ofrece microVM Firecracker en la nube o bajo el modelo BYOC, con red activada por defecto y opción de desactivarla.

El alcance también difiere: sandbox-runtime se ofrece como CLI y biblioteca para procesos distintos, mientras Codex integra su sandbox dentro de su propio cliente, Docker tiene una CLI para agentes de código y E2B un SDK para JavaScript y Python.

El contexto competitivo se movió rápido. Docker anunció Docker Cloud Sandboxes el 24 de septiembre de 2026, extendiendo su aislamiento local a la nube con microVM y escalado de 1 a 16 vCPU, según el comunicado recogido por Yahoo Finance. Y Nvidia presentó su Open Agent Safety Platform el 28 de septiembre de 2026, con el runtime OpenShell y el componente Sentry; Anthropic anunció ese mismo día una colaboración para integrar Claude Managed Agents con OpenShell, según Unite.AI. Nvidia sostuvo además que la plataforma podría haber evitado el incidente de Hugging Face de julio de 2026, en el que estuvieron involucrados agentes de OpenAI, según Livemint.

¿Qué significa esto para tu startup?

Si tienes agentes ejecutando comandos en máquinas de desarrollo o en CI, el sandbox deja de ser un tema de infraestructura y pasa a ser una decisión de producto. Tres movimientos concretos:

• Define el perímetro antes de escalar. Haz la lista de qué archivos y qué dominios necesita cada proceso. Empieza con la red denegada por defecto y abre excepciones de a una, no al revés. Una lista demasiado estrecha rompe una instalación de npm; una demasiado amplia convierte la barrera en decoración.
• Protege los secretos primero. Bloquear la lectura de ~/.ssh y la escritura de .env cuesta una línea de configuración y elimina el escenario más caro: un agente inyectado exfiltrando credenciales. Si tu equipo guarda claves de producción en el mismo equipo donde corren agentes, ese es el primer cambio.
• No asumas paridad entre sistemas. macOS y Linux están en beta de investigación; Windows sigue en alfa. Si tu equipo mezcla plataformas, valida el comportamiento en cada una antes de estandarizar.

Y una advertencia de gestión: el 84% es un dato de Anthropic sobre su propio producto. Mide tu propio volumen de aprobaciones antes y después. Si no baja, la configuración no está capturando bien el trabajo real de tus agentes.

Para equipos de LATAM y España con presupuesto de infraestructura acotado, el atractivo es evidente: no hay que pagar ni administrar microVM para obtener aislamiento en la máquina local. La decisión central no es adoptar o no el sandbox, sino definir qué necesita cada proceso y revisar que esas excepciones sigan acotadas con el tiempo.

Fuentes

• DiarioBitcoin (fuente original)
• MarkTechPost
• Yahoo Finance
• Unite.AI
• Livemint

Artículos relacionados:

sandbox-exec: Herramienta de Seguridad para Founders macOS Vercel Sandbox migra a Managed Images: menos configuración, más seguridad para startups Vercel Sandbox llega a 4 regiones globales con failover Vercel lanza Drives para Sandbox: hasta 1 TiB para agentes Vercel Sandbox: firewall gratis en plan Hobby para IA