SchlüsselarbeitDokumentationerreichbar

Anthropic, Choose a sandbox environment

Die Seite, die die Isolierung als eigene Größe neben den Rechten führt und sechs Stufen gegeneinanderstellt: die eingebaute Bash-Sandbox, die Sandbox-Runtime um den ganzen Prozess, den Dev-Container, einen eigenen Container, die virtuelle Maschine und, seit einem am 23.09.2026 gesehenen neuen Abschnitt, die Cloud-Sitzung, eine virtuelle Maschine bei Anthropic mit eigenem Proxy für das GitHub-Zugangstoken (vorher unter dem Namen 'Claude Code on the web' geführt). Sie liefert die Trennlinie zum Auto-Modus, dessen Klassifikator je Aktion urteilt und deshalb keine Grenze ist, und sie benennt die Lücke der Bash-Sandbox. Die eingebauten Dateiwerkzeuge laufen im Prozess von Claude Code und unterliegen nur den Rechteregeln. MCP-Server, Command-Hooks und Plugin-Monitore sind eigene Prozesse und laufen unbeschränkt auf dem Rechner. Der schwerste Satz steht bei der Runtime und beschreibt, wie eine Grenze sich selbst aufhebt: Eine abgeschottete Sitzung, die an die Konfigurationspfade schreiben darf, hinterlässt Hooks, Rechteregeln oder MCP-Server, die beim nächsten Start außerhalb laufen. Dazu die Warnung, dass die Runtime ohne Einstellungsdatei trotzdem startet, weshalb ein sauberer Start nichts über die geladenen Einstellungen beweist; eine leere, unlesbare oder ungültige Datei hält den Start dagegen auf.

geprüft 10.11.2026

Worauf sich diese Seite beruft, wörtlich, abgerufen am 03.09.2026:

Isolation restricts what a command can access once it runs.bestätigt 10.11.2026
With no prompts to catch mistakes, the isolation boundary you choose is what protects your system.bestätigt 10.11.2026
The classifier is a per-action control, not an isolation boundarybestätigt 10.11.2026
are separate processes that run unconstrained on the hostbestätigt 10.11.2026
A sandboxed session that can write them can persist hooks, permission rules, or MCP servers that run unsandboxed the next time you launch Claude Code.bestätigt 10.11.2026
the runtime starts anyway. It blocks network access and confines writes to built-in runtime pathsbestätigt 10.11.2026
Don't take a clean start as proof your settings loaded.bestätigt 10.11.2026
it reliably covers the project root, makes a best-effort shallow scan for nested copies that exist at that point, and does not cover anything the session creates laterbestätigt 10.11.2026
MCP servers, command hooks, and plugin monitors are separate processes that run unconstrained on the hostbestätigt 10.11.2026
so an isolation boundary still adds defense in depth for unattended runsbestätigt 10.11.2026
sessions inside a container, a VM, or the sandbox runtimebestätigt 10.11.2026

09 Sandbox und Isolierung

Alle Quellen