Anthropic publie sandbox-runtime, un bac à sable pour les agents d’intelligence artificielle

EElias

Alors, Anthropic rend disponible un outil qui place des limites autour d’un programme, sans le faire tourner dans un conteneur. D’après MarkTechPost, sandbox-runtime, abrégé srt, peut encadrer les fichiers qu’un processus peut consulter ou modifier, ainsi que les destinations réseau qu’il peut joindre. Ses règles couvrent aussi les sous-processus lancés par le programme. L’outil est compatible avec Claude Code, mais il n’est pas réservé à cet assistant : des agents tiers, des serveurs MCP et de simples commandes en ligne de commande peuvent aussi l’utiliser. Concrètement, l’intérêt de cette publication est donc de proposer une même brique d’isolation pour plusieurs types de programmes, plutôt qu’un outil limité à un seul agent. Cela ne signifie pas qu’un agent devient inoffensif par nature ; le logiciel restreint certains accès, et le résultat dépend notamment des règles appliquées.

EElias

En fait, srt s’appuie sur les mécanismes d’isolation du système d’exploitation et applique ses règles au processus ainsi qu’à ses sous-processus. Sur macOS, il utilise Seatbelt ; sur Linux, il s’appuie sur bubblewrap, avec socat et ripgrep. Le fonctionnement n’est donc pas identique sur les deux systèmes, et la prise en charge de Windows est indiquée comme expérimentale. Pour les connexions réseau, le trafic passe par des proxys HTTP et SOCKS5, qui filtrent les domaines selon des listes autorisées ou bloquées. Par défaut, le programme ne peut pas écrire dans les fichiers ni accéder au réseau ; la lecture reste permise, sauf si une règle l’interdit. Ces réglages forment deux barrières complémentaires : les fichiers et les connexions ne sont pas laissés ouverts par défaut. Les paramètres peuvent préciser les domaines accessibles et les chemins de fichiers concernés, afin de déterminer les exceptions nécessaires au programme.

EElias

Il peut être utilisé avec Claude Code, avec d’autres agents, avec des serveurs MCP ou avec des commandes ordinaires. Pour l’utiliser, il faut Node.js en version 22.12 ou ultérieure, et le logiciel est distribué sous licence Apache-2.0. Anthropic affirme que, dans son usage interne de Claude Code, le bac à sable aurait réduit de 84 % les demandes d’autorisation. Ce chiffre est auto-déclaré : il décrit le résultat avancé par Anthropic pour son propre usage, et non une mesure indépendante. Il ne permet donc pas de conclure que la même baisse serait obtenue par toutes les équipes ou avec d’autres réglages. Mais il donne une indication sur l’objectif pratique de l’outil : limiter les accès d’un programme sans multiplier les demandes de validation rapportées par Anthropic dans son environnement interne. Il faut garder distincts ce résultat annoncé et les caractéristiques techniques de l’outil, qui sont décrites séparément.

EElias

La première limite concerne les systèmes pris en charge : macOS et Linux reposent sur des mécanismes différents, tandis que Windows reste expérimental. Il faut donc vérifier que le système utilisé correspond bien à une prise en charge indiquée, sans supposer que l’expérience sera identique partout. Ensuite, les règles déterminent ce que le programme peut lire, écrire et joindre sur le réseau. Par défaut, les écritures et les accès réseau sont bloqués, mais des domaines peuvent être autorisés et des règles de fichiers peuvent prévoir des exceptions. Le choix de ces exceptions compte : autoriser un accès plus large modifie les limites effectivement imposées au programme. À l’inverse, si une tâche nécessite un accès qui n’est pas autorisé, les règles devront être adaptées pour que le programme puisse l’effectuer. Enfin, la baisse de 84 % des demandes d’autorisation reste une affirmation attribuée à Anthropic et fondée sur son usage interne, pas une mesure indépendante. C’est une réserve importante lorsqu’on évalue le bénéfice annoncé.

EElias

À retenir, Anthropic propose avec sandbox-runtime un outil open source qui limite les accès aux fichiers et au réseau sans recourir à un conteneur. Il peut encadrer Claude Code, mais aussi des agents tiers, des serveurs MCP et des commandes en ligne de commande. Son principe est de contrôler les accès du processus et de ses sous-processus, avec des règles qui refusent par défaut les écritures et les connexions réseau, tout en autorisant la lecture sauf interdiction explicite. Sur macOS, il utilise Seatbelt ; sur Linux, bubblewrap, avec socat et ripgrep, et Windows reste expérimental. L’outil demande Node.js 22.12 ou une version ultérieure. Enfin, Anthropic avance une baisse de 84 % des demandes d’autorisation dans son utilisation interne de Claude Code, mais cette donnée auto-déclarée ne constitue pas une mesure indépendante. Le bac à sable apporte donc un moyen de contrôler certains accès ; les limites réelles dépendent du système utilisé et des règles configurées.