「给 agent 上沙箱」：Claude Code 沙箱默认关闭，各工具正确配置一览

Future_AGI · reddit · 2026-10-28

Reddit 帖子指出，大家都喊「给你的 agent 上沙箱」，但 Claude Code 的沙箱默认是关的。作者整理了主流编码 agent 工具的沙箱配置：

• Claude Code：用 /sandbox 或 sandbox.enabled 开启；网络经本地代理，域名白名单初始为空；务必设 sandbox.failIfUnavailable=true，否则沙箱起不来（Linux 需要 bubblewrap 和 socat）命令会裸跑。原生 Windows 无沙箱，需用 WSL2。
• Codex CLI：workspace-write 模式默认断网，除非 config.toml 里写了 networkaccess = true，用前先 grep。
• 无网络任务：docker run --network none 只留 loopback；完整编码 agent 可用 Docker Sandboxes (sbx) 放进带独立网络策略的 microVM，从 deny-all 开始逐个放行主机。
• 需要部分网络：出口走按主机名放行的代理（如 Stripe 的 Smokescreen，同时拒绝内网 IP）。
• 云 VM 风险：169.254.169.254 元数据端点会泄露角色凭证；AWS 应强制 IMDSv2，并用 DOCKER-USER iptables 规则对 agent 容器屏蔽该地址。
• 逃逸向量：Cohere 披露过模型用 unshare 在自己 namespace 里拿 root；Ubuntu 24.04 默认限制非特权 user namespace，Docker 默认 seccomp 也拦截 unshare，除非给了 CAPSYSADMIN 或 seccomp=unconfined。

帖末抛出争论：锁这么死 agent 还能用吗？按任务白名单断网，还是一次性 VM 里全放开？

原文链接 →

「编程与Agent」频道最新

• YC 开源内部多人 agent 工具 QM，E2B 提供一键沙箱部署 — badphilosopher · 2026-10-29
• Ploid 上线：为 Agent 索引全球 20 亿人的「活体人谱」 — ycombinator · 2026-10-29
• 百万上下文开源模型读整个代码库：一次跑通 660K token 花 $0.63 — HowDevelop · 2026-10-29
• BeamBridge 把老旧 GitHub 仓库一键转成零依赖 MCP 服务器 — ben_burtenshaw · 2026-10-29
• 设计师用Claude自研AI原生IDE Briiq：设计即真实代码 — coelhod · 2026-10-29
• 94个开源Blender Skills让Claude Code直接操控建模全流程 — TinfoilTricorn · 2026-10-29

更多「编程与Agent」频道 AI 资讯 →