Anthropic: O fim dos contêineres para IAs seguras?

A Arma Secreta da Anthropic para Proteger SEU Código e Seus Agentes foi Revelada!

Olá, pessoal! Aqui é o Lucas Tech, e preparem-se porque a Anthropic jogou uma notícia quentíssima no nosso colo que promete mudar o jogo da segurança no desenvolvimento. Sabe aquele agente de IA que você usa, ou aquele script que roda no seu PC? E se eu te disser que tem um jeito de dar a eles um "parquinho" seguro, onde eles podem trabalhar sem riscos de fazer bagunça ou acessar o que não devem? Isso é o que o sandbox-runtime (srt) da Anthropic, agora open source, veio fazer! Ele é o isolamento de nível de sistema operacional por trás da ferramenta bash segura do Claude Code, e o mais legal: você também pode usar!

O Que Você Precisa Saber AGORA (o famoso TL;DR)!

Pra quem tá com pressa, se liga nos pontos chave:

  • Tamanho: É um pacote npm (@anthropic-ai/sandbox-runtime v0.0.81), cerca de 11.4 MB descompactado. Licença Apache-2.0, feito pra Node.js 22.12+.
  • Onde Roda: Funciona lindamente em qualquer máquina macOS ou Linux, seja pra desenvolvimento ou em caixas de CI. O macOS usa o Seatbelt e o Linux precisa de bubblewrap, socat e ripgrep. E o Windows? Ainda está em fase alfa, hein!
  • Performance DEZ: A Anthropic relatou que, internamente, o sandboxing reduziu os alertas de permissão do Claude Code em impressionantes 84%. Ou seja, menos interrupções pra você!
  • O Melhor: Uma redução massiva de 84% nos pedidos de permissão, com limites de acesso a arquivos e rede aplicados a toda a árvore de processos. Segurança que não atrapalha!
  • O Pior: Ainda é uma prévia de pesquisa beta, e o suporte para Windows está só engatinhando (alfa). Mas já é um começo e tanto!

Mas, Afinal, Que Bicho é Esse: o sandbox-runtime da Anthropic?

Imagina só uma ferramenta de código aberto que "empacota" qualquer processo seu dentro de umas barreiras de segurança super rígidas, tanto para o sistema de arquivos quanto para a rede. Essa é a função do sandbox-runtime!

A instalação é simples: npm install -g @anthropic-ai/sandbox-runtime. Depois, é só adicionar srt na frente do comando que você quer rodar isolado. Tipo assim: srt [seu comando]. E não é só pra linha de comando não; ele também funciona como uma biblioteca TypeScript, dando mais flexibilidade para os devs. O grande lance é que ele faz tudo isso sem precisar de um container, que muitas vezes é mais pesado e complexo.

Como Essa Mágica Acontece em Diferentes Sistemas Operacionais?

O srt é bem inteligente e usa os próprios mecanismos de isolamento de cada sistema operacional. E o mais legal é que essas restrições cobrem toda a árvore de processos, incluindo os scripts e sub-processos que sua aplicação pode chamar.

  • macOS: Ele usa o sandbox-exec com perfis Seatbelt gerados dinamicamente. Basicamente, ele cria uma "polícia" interna do macOS para o seu processo. Só precisa do ripgrep instalado.
  • Linux: Aqui, ele se apoia no bubblewrap (uma ferramenta popular para isolamento) e remove o namespace de rede. Além disso, ele precisa de socat e ripgrep.
  • Windows (ainda em fase alfa): A implementação é um pouco diferente, usando uma conta srt-sandbox dedicada, uma "cerca" de saída do Windows Filtering Platform (WFP) e ACLs (listas de controle de acesso) de arquivo explícitas.

E como o tráfego de rede funciona? Todo o tráfego de saída do ambiente isolado passa por proxies HTTP e SOCKS5 que rodam no seu host. No Linux, esses proxies ficam por trás de sockets Unix. No macOS, o perfil Seatbelt permite apenas uma porta localhost. Esses proxies são os guardiões, aplicando suas listas de domínios permitidos (allowlist) e negados (denylist).

Por Que Precisamos Proteger ARQUIVOS e a REDE Juntos?

A equipe da Anthropic é categórica: isolar um sem o outro é pedir pra ter problemas.

  • Sem isolamento de rede: Imagina um agente de IA que, por um erro ou injeção de prompt, consegue acessar suas chaves SSH e enviá-las para algum lugar na internet? Um desastre!
  • Sem isolamento de sistema de arquivos: O mesmo agente poderia "escapar" do sandbox, acessar arquivos confidenciais do seu sistema e, aí sim, ganhar acesso à rede pra exfiltrar dados.

Por isso, os padrões do srt são bem lógicos e seguros:

  • Leitura: É permitida em todo lugar, a menos que você explicitamente a negue (tipo, negar acesso à pasta .ssh).
  • Escrita: É negada em todo lugar, a menos que você explicitamente a permita (tipo, permitir que ele escreva na pasta do projeto).
  • Acesso à Rede: É negado por padrão. Cada domínio que o processo quiser acessar precisa estar na sua lista de permissões (allowlist). Simples e eficaz!

Quer Usar o srt no Seu Servidor ou Agente?

A Anthropic pensou em tudo!

  • Para um servidor MCP: É super fácil! Basta mudar o command no seu arquivo .mcp.json de npx para srt. O comando original que você queria rodar passa a ser um argumento. As regras do sandbox ficam no arquivo ~/.srt-settings.json.

    json
    {
    "network": { "allowedDomains": ["api.github.com", "*.npmjs.org"], "deniedDomains": [] },
    "filesystem": { "denyRead": ["~/.ssh"], "allowWrite": ["."], "denyWrite": [".env"] }
    }

    Nesse exemplo, seu agente pode acessar o GitHub e o npm, mas não pode ler suas chaves SSH nem escrever no .env. Genial, né?

  • Para o seu próprio agente: A biblioteca expõe uma classe SandboxManager. Você chama initialize(config) para iniciar os proxies e, depois, wrapWithSandbox() te retorna uma string de comando que você pode executar com o isolamento já aplicado.

O Que Significam Aqueles 84% de Redução nos Pedidos de Permissão?

A Anthropic, em um relatório interno, informou que o uso do sandboxing reduziu os pedidos de permissão do Claude Code em 84%. Esse número não é um benchmark externo, mas é super revelador sobre a experiência do usuário.

O grande vilão aqui é a "fadiga de aprovação". Sabe quando você passa o dia inteiro clicando em "aprovar" e nem lê o que está aprovando? É exatamente isso. Desenvolvedores podem acabar aprovando permissões demais para seus agentes de IA. Com uma "fronteira" fixa e bem definida, o agente pode trabalhar livremente dentro dela, pedindo permissão apenas quando tenta ultrapassar essa barreira. Isso significa menos interrupções e um ambiente de trabalho mais fluido e seguro.


Minha Visão (Lucas Tech)

Galera, como um entusiasta de tecnologia que vive e respira código, essa notícia da Anthropic me deixou super empolgado! O sandbox-runtime é um divisor de águas. Não é só mais uma ferramenta; é um passo gigante para a segurança e a produtividade no desenvolvimento com IA.

Pensem comigo: a capacidade de isolar qualquer processo, seja um agente de IA super complexo ou um simples script, sem a sobrecarga de um container completo, é um sonho! Isso significa que podemos experimentar mais, automatizar com mais confiança e, principalmente, dormir tranquilos sabendo que nossos agentes estão confinados a um ambiente seguro, sem riscos de vazamento de dados ou de fazer algo inesperado.

Ver a Anthropic abrindo o código dessa tecnologia é um presente para a comunidade. Imagino um futuro onde todos os desenvolvedores poderão criar agentes de IA mais robustos e independentes, com a segurança já embutida no processo. Adeus, fadiga de aprovação! Olá, desenvolvimento com tranquilidade e performance!


E você, o que achou dessa novidade? Você já teve algum problema de segurança com agentes de IA ou scripts? Como você imagina usar o sandbox-runtime nos seus próximos projetos? Me conta nos comentários!

Referência: Matéria Original

Deixe um comentário

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *

Rolar para cima
Tutorial Elevenlabs