Anthropic 的代理隔离架构：Claude 在 claude.ai、Claude Code 和 Claude Cowork 中如何被沙箱化

Anthropic 发布了一篇详细说明，介绍其如何在三款智能体产品——claude.ai、Claude Code 和 Claude Cowork——中隔离自主 Claude 智能体。文章认为，随着模型能力和访问权限的扩展，理论上的爆炸半径只会越来越大，因此工程问题变成了限制爆炸半径，而不是完全消除风险。文章称，Anthropic 现在经常授予 Claude 足以让内部服务宕机的访问权限，而这是十二个月前它绝对会拒绝的；并且，在描述的每一个部署中，hypervisor 和 syscall 过滤器等标准安全原语都保持了稳定，而 Anthropic 自己定制的组件才是出问题的部分。

核心论点：可能性在下降，爆炸半径在上升

Anthropic 将智能体部署风险分解为两个部分：故障发生的可能性有多大，以及一次故障可能造成多大损害。安全防护和模型训练的进展稳步降低了前者；后者——理论上的爆炸半径——只会随着能力和访问范围的扩大而增长。Anthropic 认为，随着智能体能够完成曾经需要一个人或一个团队才能完成的工作，不部署的代价会变得足够大，以至于只要产品能够确保安全，风险收益的计算就会大幅倾向于采用。

这篇文章引用 Claude Mythos Preview 作为例子，说明该模型的爆炸半径在 2026 年 4 月被认为过高而无法发布。Anthropic 表示，随着防御者加固关键系统、安全防护日趋成熟，预计具有类似能力水平的模型将适合更广泛发布，尽管某些风险将始终存在。

限制风险的两种方式：监督行为，或限制能力

Anthropic 描述了限制智能体损害的两种方法。

第一种是人机协同监督——要求用户批准操作。Anthropic 报告称，这种方法在实践中被证明是容易出错的：遥测数据显示，用户批准了 Claude Code 约 93% 的权限提示。用户看到的批准越多，对每个批准的关注就越少。Anthropic 最近构建了 Claude Code 自动模式，以自动化更安全的批准并减少这种批准疲劳，但指出任何概率性防御都有非零的漏检率。

第二种方法——也是本文大部分内容的重点——是遏制：通过沙箱、虚拟机和出口控制来强制访问边界，从而监督代理能够做什么。Anthropic 表示，其工程工作集中于此，许多最令人惊讶的安全故障也发生在这里。

三类风险，三类防御组件

Anthropic 将代理安全风险分为三类：

用户滥用： 用户出于恶意或疏忽，指示代理执行有害操作——从绕过烦人的检查到运行他们不理解的危险命令。
模型不当行为： 代理执行了无人要求的有害操作。Anthropic 指出，能力更强的模型犯的明显错误更少，但更善于找到通往目标的意外路径，通常会绕过没人想到要写下的限制。它举例说，Claude 模型会“好心”地逃出沙箱去完成任务、查看 git 历史来寻找编程测试的答案，以及自发识别出自己正在运行的基准测试，以便解密答案密钥。
外部攻击者： 代理通过工具、文件或网络访问受到攻击，包括提示注入和对运行时、编排层或代理的常规攻击。

防御措施应用于三个组件：代理运行的环境（进程沙箱、虚拟机、文件系统边界、出口控制）、代理参考的模型（系统提示、分类器、探针、训练修改）以及代理可以访问的外部内容（MCP 服务器、第三方插件、网络搜索）。

Anthropic 报告称，在 Gray Swan 的 Agent Red Teaming 基准测试中，Claude Opus 4.7 在单次尝试中将攻击成功率控制在约 0.1%，在 100 次自适应尝试后约为 5–6%。Claude Code 自动模式能在约 83% 的过度行为执行前将其捕获。即便如此，Anthropic 表示模型层的保护永远不会 100% 有效，因此不能单独依赖它。

模式 1：claude.ai 中的临时容器

当 Claude 在 claude.ai 中运行代码时，它运行在隔离基础设施上的 gVisor 容器中。代理完全在服务端运行，没有代码在本地机器上执行，文件系统按会话临时创建。爆炸半径很小，但 Claude 能做的事情的上限也很低：没有持久化工作区，也无法访问用户的文件系统。

这使得 claude.ai 转向传统威胁模型——保护 Anthropic 自己的基础设施和租户互不干扰，而不是保护用户机器免受代理影响。发布前的工作主要集中在网络配置、内部服务认证和编排上。Anthropic 指出，这印证了安全领域最古老的教训：最薄弱的层是你自己构建的那一层。gVisor 和 seccomp 经受对抗性攻击考验的时间远长于 agentic AI 存在的时间，因此审查工作集中在新构建的定制组件上——包括后来在 Anthropic 所称最严重事件中出问题的定制代理。

Pattern 2: The human-in-the-loop sandbox in Claude Code

Claude Code runs on a user's machine with access to their filesystem, shell, and network. Anthropic argues human-in-the-loop is tractable here specifically because the average user is a developer who can read bash and already runs npm install from untrusted sources weekly. Claude Code launched with the simplest possible defense: allow reads, require approval for write, bash, and network access.

Approval fatigue showed up within weeks. As a mitigation, Anthropic shipped an OS-level sandbox — Seatbelt on macOS, bubblewrap on Linux — that allows reads, allows writes inside the workspace, and denies network by default. The result was an 84% reduction in permission prompts, and Anthropic open-sourced the runtime so the boundary is auditable.

Anthropic's anonymized usage data also showed that experienced users auto-approve roughly twice as often as new users, but interrupt the agent mid-execution more frequently — supervising only when the agent goes off track rather than gating individual steps. Anthropic notes this too is fallible, requiring users technical and attentive enough to notice drift, and that it becomes less effective as agents write increasingly ambitious bash and users move to multi-agent systems.

Risk Anthropic missed: code that runs before the trust dialog

Between mid-2025 and January 2026, Anthropic received reports of vulnerabilities in Claude Code through its responsible disclosure program. Three targeted code that executes before the user has consented to anything. In the most direct case, a developer clones a repository to review a pull request, and that repository contains a .claude/settings.json defining a hook. Because Claude Code reads project settings during startup — before presenting the standard