Что такое песочница Claude Code? Изоляция файловой системы и сети для безопасной автоматизации (2026)

Поработайте с Claude Code подольше — и наткнётесь на эту дилемму. Он спрашивает «можно выполнить это?» на каждую команду, и рабочий поток то и дело буксует. Но отключить все запросы с помощью --dangerously-skip-permissions (режим обхода разрешений) — значит допустить, что инъекция в промпт или случайная оплошность могут затронуть файлы по всей вашей машине. Безопасность против автоматизации — долгое время это считали неизбежным компромиссом.

Этот бинарный выбор разрушает песочница. Если заранее огородить «к чему можно прикасаться» на уровне ОС, команды смогут свободно выполняться внутри ограды без запросов, но при этом ничто не сможет выйти за её пределы. В этой статье с точки зрения практика разбирается, что именно и как изолирует песочница Claude Code, как начать с /sandbox, как настроить её в settings.json, чем она отличается от режимов разрешений и какие ограничения нельзя переоценивать.

1. Зачем нужна песочница

Claude Code — это ИИ-агент, который реально совершает действия: запускает тесты, переписывает файлы. Именно поэтому перед рискованными командами он останавливается и спрашивает «можно выполнить это?». Ради безопасности это правильно. Но когда за день прилетают десятки запросов, работа дробится, и в итоге вы жмёте Enter не читая. Это и есть «усталость от разрешений».

Уставший разработчик тянется к --dangerously-skip-permissions (он же режим YOLO), который отключает все запросы. Это удобно и — как и говорит название — опасно. Сразу обнажают клыки три угрозы.

Идея песочницы проста: перестать каждый раз спрашивать «что подтвердить?» и заранее огородить «как далеко это может дотянуться?». Ограду обеспечивает не собственное суждение Claude, а сама ОС (ядро), поэтому даже если его перехватят и даже если разрешённая команда делает больше, чем следует из её названия, ничто не выйдет за границу. Именно поэтому команды внутри ограды можно безопасно выполнять без запросов — бинарный выбор «усталость против полного обхода» исчезает. В официальной инженерной публикации «Making Claude Code more secure and autonomous with sandboxing» Anthropic сообщает, что во внутреннем использовании песочница безопасно сократила число запросов разрешений на 84% (опубликовано в октябре 2025 года).

2. Что такое песочница — две изоляции

Песочница Claude Code проводит две границы вокруг команд Bash (и всех дочерних процессов, которые они порождают). Эти две границы должны работать в связке — любая по отдельности оставляет брешь (см. §7).

Суть в том, что она не полагается на добропорядочность Claude. Границу обеспечивает собственный защитный механизм ОС: macOS использует встроенный Seatbelt, Linux/WSL2 — bubblewrap. Поэтому та же граница распространяется на скрипты, которые вызывает команда, и на «внучатые» процессы. Считайте это не вежливой просьбой к модели, как ограждения (guardrails) ИИ, а физической стеной, которая держится механически.

3. С чего начать — /sandbox и поддерживаемые ОС

Песочница встроена в Claude Code. Дополнительной учётной записи или инструмента не требуется. В сессии выполните:

/sandbox

Откроется панель с тремя вкладками. Mode (как утверждаются команды в песочнице — следующий раздел), Overrides (может ли команда, которая не выполнилась в песочнице, откатиться к запуску вне неё) и Config (просмотр итоговых настроек). На Linux/WSL2, если недостаёт нужного пакета, вместо этого появляется вкладка Dependencies и сообщает, что установить.

Требования по каждой ОС

На Linux/WSL2 установите bubblewrap (непривилегированный инструмент песочницы, обеспечивающий изоляцию файловой системы) и socat (реле, направляющее трафик на прокси).

# Ubuntu / Debian
sudo apt-get install bubblewrap socat

# Fedora
sudo dnf install bubblewrap socat

Полезно также включить фильтр seccomp (он добавляет блокировку доменных сокетов Unix). Он опционален; установите его через npm install -g @anthropic-ai/sandbox-runtime. Вкладка Dependencies в /sandbox показывает статус ripgrep, bubblewrap, socat и фильтра seccomp. После установки пакетов перезапустите Claude Code и снова откройте /sandbox (проверка выполняется при запуске).

4. Два режима (auto-allow / обычный)

Вкладка Mode выбирает, как утверждаются команды внутри песочницы.

В обоих режимах границы файловой системы и сети одинаковы; отличие только в «auto-allow против запроса». Обратите внимание, что даже в режиме auto-allow эти предохранительные клапаны остаются активными:

• Явные правила deny всегда имеют приоритет
• rm / rmdir, нацеленные на /, ваш домашний каталог или другие критичные системные пути, всё равно вызывают запрос
• Правила ask, привязанные к содержимому, вроде Bash(git push *), всё равно требуют запроса даже внутри песочницы

5. Настройка в settings.json

Выбор в панели /sandbox записывается в проектный файл .claude/settings.local.json (не коммитится в git). Чтобы держать её всегда включённой во всех проектах, добавьте sandbox.enabled: true в пользовательские настройки в ~/.claude/settings.json. Она относится к тому же семейству settings.json, что и правила разрешений (allow/ask/deny).

Добавить цели для записи, запретить чтение

По умолчанию писать можно только в рабочий каталог и временную папку. Если kubectl или terraform нужно писать в другое место, добавьте пути через allowWrite. И наоборот, вы можете заблокировать чтение чувствительных папок.

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "allowWrite": ["~/.kube", "/tmp/build"],
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

Пример выше запрещает чтение всего домашнего каталога, но по-прежнему разрешает текущий проект (. разворачивается в корень проекта, когда конфиг лежит в настройках проекта). Пути обеспечиваются на уровне ОС, поэтому одинаково применяются к дочерним процессам вроде npm и terraform.

Защитить учётные данные

Важная ловушка: по умолчанию чтение «широко разрешено», поэтому ~/.aws/credentials и ~/.ssh/ читаются как есть. Специальная настройка sandbox.credentials (относительно недавняя возможность) объявляет файлы, чтение которых запрещается, и переменные окружения, которые нужно сбросить.

{
  "sandbox": {
    "enabled": true,
    "credentials": {
      "files": [
        { "path": "~/.aws/credentials", "mode": "deny" },
        { "path": "~/.ssh", "mode": "deny" }
      ],
      "envVars": [
        { "name": "GITHUB_TOKEN", "mode": "deny" }
      ]
    }
  }
}

Разрешить адреса назначения

Сеть стартует с нулём разрешённых адресов. Новый домен вызывает запрос при первом обращении (в актуальных на момент написания версиях одобрение один раз означает отсутствие повторных запросов до конца сессии). Заранее зарегистрируйте хосты, о которых не хотите, чтобы вас спрашивали, в allowedDomains. С помощью распространяемых организацией управляемых настроек можно также автоматически блокировать всё, что вне списка разрешённых, вместо запроса.

{
  "sandbox": {
    "enabled": true,
    "network": {
      "allowedDomains": ["*.github.com", "registry.npmjs.org"]
    }
  }
}

6. Связь с режимами и правилами разрешений

Их легко перепутать, но защитный механизм Claude Code состоит из трёх слоёв с разными задачами. Песочница — один из них: она не заменяет два других, а дополняет их.

Решающее отличие — «когда и кем» вступает в силу каждый слой. Правила и режимы разрешений решаются до выполнения, самим Claude Code, исходя из строки команды. Песочница связывает процесс во время выполнения, силами ОС — поэтому что бы ни выбрала модель и даже если разрешённая команда делает больше, чем подразумевает её название, граница не сдвигается.

Это же и есть решающий разрыв с --dangerously-skip-permissions (обход). Обход лишь убирает запросы; окружение остаётся нараспашку. Режим auto-allow песочницы, напротив, может пропускать запросы, потому что стена ОС на месте. Старое железное правило — если пользуешься режимом обхода, то только внутри изолированного контейнера или ВМ — песочница позволяет сдвинуть в безопасную сторону даже на вашей повседневной машине.

7. Ограничения и оговорки — не переоценивайте её

Песочница мощна, но это не полная изоляция. Прежде чем опираться на неё как на жёсткую границу безопасности, узнайте ограничения, которые проговаривает документация.

Ещё одно, что стоит усвоить: область действия — только Bash — встроенные Read/Edit/Write, MCP-серверы и хуки отдельны. Чтобы изолировать весь процесс, включая навыки (Skills) и MCP, оберните сам процесс Claude Code официальным опенсорсным @anthropic-ai/sandbox-runtime (опубликован на GitHub и в npm, исследовательский preview, выпущенный в октябре 2025 года). Его практическая роль — не «стена» против упорного злоумышленника, а «страховочная привязь», которая на порядки снижает число случайностей и «убеганий».

8. Когда стоит взять dev-контейнер или ВМ

Песочница — не единственный вариант изоляции в Claude Code. Удобство и сила изоляции находятся в размене, поэтому выбирайте по цели.

Правило большого пальца: держите встроенную песочницу всегда включённой, чтобы сокращать повседневные запросы, и повышайте планку до sandbox-runtime, контейнеров или ВМ только тогда, когда запускаете автономно или имеете дело с недоверенными зависимостями. Для работы, которая доходит до продакшена — например, когда ИИ управляет облаком — сочетание учётных данных с минимальными привилегиями и более сильного уровня изоляции даёт спокойствие.

Итоги

Песочница ломает саму предпосылку, что безопасность и автоматизация обязаны быть в размене. Достаточно один раз открыть /sandbox — и уже это меняет то, как вы держите поводья Claude Code. За точным актуальным справочником по конфигурации обращайтесь к официальной документации по настройкам песочницы как к первоисточнику.

FAQ