Dokumentationerreichbar
Anthropic, Configure the sandboxed Bash tool
code.claude.com (externe Seite)
Die Herstellerdokumentation zur Sandbox, die jeden Bash-Befehl in eine vom Betriebssystem gezogene Grenze sperrt. Sie ist die Quelle für den Unterschied, um den es in diesem Kapitel geht: Eine Rechteregel entscheidet je Aufruf, diese Grenze gilt für den laufenden Prozess und alle seine Kinder. Zwei Stellen wiegen schwerer als die Beschreibung selbst. Erstens läuft die Sandbox voreingestellt fail-open: Fehlt ein Paket oder ist die Plattform nicht unterstützt, warnt Claude Code und arbeitet ohne Sandbox weiter, bis jemand sandbox.failIfUnavailable setzt. Zweitens darf das Modell die Grenze über einen Rückfallpfad selbst verlassen, wenn ein Befehl darin scheitert; der zweite Versuch läuft dann außerhalb und durch die gewöhnliche Rechteprüfung. Auf macOS trägt Seatbelt die Grenze, auf Linux und WSL2 bubblewrap, natives Windows wird nicht unterstützt. Seit Version 2.1.271 (Abschnitt 'Per-command allowed domains in auto mode', gesehen 23.09.2026) gibt es einen engeren Weg für einzelne Rechner: Im Auto-Modus kann ein Befehl seine eigene Liste erlaubter Rechner mitbringen, der Klassifikator prüft sie zusammen mit dem Befehl, und der Befehl bleibt dabei in der Sandbox.
geprüft 24.09.2026
Worauf sich diese Seite beruft, wörtlich, abgerufen am 17.09.2026:
Instead of approving each command, you define which files and network domains commands can touch, and the operating system enforces that boundary for every Bash, PowerShell, or Monitor command and its child processes.
bestätigt 24.09.2026The operating system enforces the sandbox boundary on the running process, so it holds regardless of what the model chose to run and even if an allowed command does more than its name suggests.
bestätigt 24.09.2026By default, if the sandbox cannot start because dependencies are missing or the platform is unsupported, Claude Code shows a warning and runs commands without sandboxing.
bestätigt 24.09.2026In both, the sandbox enforces the same filesystem and network restrictions; the difference is only in whether sandboxed commands are auto-approved or require explicit permission.
bestätigt 24.09.2026The retried command runs outside the sandbox, so it goes through the regular permission flow
bestätigt 24.09.2026code running inside the sandbox can potentially use domain fronting or similar techniques to reach hosts outside the allowlist
bestätigt 24.09.2026Auto-allow mode works independently of your permission mode setting, except in plan mode and, in auto mode, for a command that carries per-command allowed domains.
noch nicht nachgeprüftA command that carries hosts goes to the classifier instead of being approved by a permission rule or the sandbox's auto-allow mode.
noch nicht nachgeprüft