当 AI Agent 开始直接读写文件、调用命令行、连接 MCP 服务器，安全边界就不再是提示词问题，而是操作系统问题。
发生了什么
Anthropic 开源了 sandbox-runtime（简称 srt），这是 Claude Code 背后的操作系统级沙箱实现。它的核心思路是：不引入容器，而是直接借助操作系统已有的隔离机制——macOS 上使用 Seatbelt，Linux 上使用 bubblewrap——对进程的文件访问和网络访问施加限制。受约束的对象包括 AI Agent 本身、它调用的 MCP 服务器，以及由它发起的 CLI 工具。
换句话说，srt 把“这个 Agent 能碰哪些文件、能连哪些地址”从模型自觉遵守的规则，变成了内核层面的强制约束。
为什么重要
编码类 Agent 的能力边界正在快速外扩：读代码库、改文件、跑测试、装依赖、调用外部服务。能力越强，一次误操作或一次提示注入的代价就越高。过去常见的做法有两类：一是靠提示词和权限确认弹窗，本质是“请勿越界”；二是在容器或虚拟机里跑 Agent，隔离彻底但工程成本高，启动慢、环境配置繁琐，对本地开发这种高频交互场景并不友好。
srt 选择的是第三条路：复用操作系统自带的沙箱原语。macOS 的 Seatbelt 和 Linux 的 bubblewrap 都是成熟机制，浏览器等产品早已在用。把它包一层给 Agent 使用，意味着隔离可以做到接近零额外开销，也不需要用户先理解 Docker 或维护镜像。对 Anthropic 而言，开源这个组件还有一层意义：Claude Code 要在本地执行任意命令，安全模型必须经得起外部审视，把沙箱单独拿出来开放，等于把信任基础摆到台面上。
影响与看点
对开发者来说，最直接的价值是 Agent 与 MCP 生态的权限收敛。MCP 服务器由第三方提供、行为不完全可控，一旦接入就相当于把工具执行权交出去；有了进程级沙箱，至少可以把它的文件与网络范围压到最小。对工具链而言，“不依赖容器”降低了本地 Agent 的部署门槛，也让沙箱更容易被嵌进 IDE、CLI 和 CI 流程。
值得关注的几个点：一是跨平台策略的差异，Seatbelt 与 bubblewrap 的语义并不完全一致，同一份策略在两个系统上的实际效果需要验证；二是默认策略的宽严取舍，过严会打断正常开发流程，过松则形同虚设；三是它与容器方案并非替代关系，本地轻隔离与生产环境强隔离大概率会长期并存。
一个判断：Agent 安全的重心正在从“模型是否听话”转向“运行时是否可约束”，沙箱会像版本控制一样，成为 Agent 工具链的默认基础设施，而不是可选项。
