אנתרופיק משחררת את sandbox-runtime: בידוד ברמת מערכת ההפעלה לסוכני AI, בלי קונטיינרים

אנתרופיק פרסמה כקוד פתוח את sandbox-runtime, או בקיצור srt: מנגנון בידוד (sandbox) שפועל ברמת מערכת ההפעלה, והוא זה שעומד מאחורי Claude Code, סוכן התכנות של החברה. לפי הדיווח ב-MarkTechPost, הכלי מגביל את הגישה לקבצים ולרשת של סוכני AI, של שרתי MCP ושל כלי שורת פקודה (CLI). ב-macOS הוא עושה את זה עם Seatbelt, וב-Linux עם bubblewrap. אין צורך בקונטיינרים.

הבעיה: סוכן שמריץ פקודות על המחשב שלכם

כלי ה-AI של הדור הקודם בעיקר הציעו טקסט וקוד, והמשתמש החליט מה לעשות איתו. סוכנים כמו Claude Code כבר פועלים בעצמם: הם קוראים קבצים, מריצים פקודות במסוף, מתקינים חבילות ופונים לרשת. זה מה שהופך אותם לשימושיים, וזה גם מה שהופך אותם למסוכנים. סוכן שטועה, או שמישהו הצליח להטעות אותו באמצעות תוכן זדוני שהוא קרא בדרך, עלול למחוק קבצים, לחשוף מפתחות גישה או לשלוח מידע לשרת חיצוני.

השאלה שכל חברה בתחום צריכה לענות עליה היא איך נותנים לסוכן מספיק חופש כדי שיעבוד, ועדיין מוודאים שלא ייגע במה שאסור לו לגעת בו.

הגישה: לתת למערכת ההפעלה לאכוף את הגבולות

הפתרון הנפוץ עד היום היה להריץ את הסוכן בתוך קונטיינר, כלומר סביבה מבודדת כמו Docker. הבחירה של אנתרופיק ב-srt שונה: במקום לבנות סביבה נפרדת, הכלי נשען על מנגנוני הבידוד שכבר מובנים במערכת ההפעלה.

• Seatbelt הוא מנגנון ה-sandbox של אפל ב-macOS. אפשר להגדיר בו לכל תהליך אילו קבצים וחיבורי רשת מותרים לו.
• bubblewrap הוא כלי בידוד מוכר בעולם ה-Linux. הוא יוצר לתהליך "תצוגה" מוגבלת של מערכת הקבצים והרשת.

המשמעות המעשית ככל הנראה היא שהבידוד קל יותר להפעלה: הסוכן רץ על המחשב של המפתח כרגיל, ומערכת ההפעלה עוצרת אותו בכל פעם שהוא מנסה לחרוג מהתיקיות או מהיעדים ברשת שהותרו לו. ההערכה היא שזה מוריד את המחיר של בידוד, שעד עכשיו דרש להקים ולתחזק סביבת קונטיינרים.

למה זה חשוב

לשחרור כקוד פתוח יש כמה השלכות אפשריות. הראשונה היא שקיפות: מפתחים וחוקרי אבטחה יכולים לבדוק בעצמם איך Claude Code מוגבל, ולא רק לסמוך על הצהרות החברה. השנייה היא שימוש חוזר: הכלי מיועד גם לשרתי MCP ולכלי CLI באופן כללי, כך שהוא לא קשור רק למוצר של אנתרופיק. MCP הוא הפרוטוקול שבאמצעותו סוכנים מתחברים לכלים ולמקורות מידע חיצוניים, וכל שרת כזה הוא עוד קוד שרץ על המחשב ועשוי להזדקק לגבולות משלו.

ברמה הרחבה, נראה שהמהלך משקף מגמה בתעשייה: אבטחה של סוכנים עוברת מהוראות למודל ("אל תעשה X") לגבולות טכניים שהמודל לא יכול לעקוף, גם אם השתכנע שהוא צריך. סוכן שמריץ פקודות על מחשב אמיתי צריך גבולות שנאכפים מחוצה לו, וסביר להניח שכלים כמו srt יהפכו לחלק סטנדרטי מהעבודה עם סוכני AI.