Security
Sandboxing Claude Code: Menjalankan Bash dengan Aman
Agustus 20269 menit baca
Sandboxing menjalankan perintah bash agen di dalam lingkungan terisolasi dengan dua batas: batas berkas yang membatasi berkas mana yang bisa dibaca dan ditulisnya, dan batas jaringan yang membatasi apa yang bisa dijangkaunya lewat jaringan. Di dalam tembok itu ia bisa menjalankan perintah dengan bebas, sehingga butuh lebih sedikit prompt persetujuan sementara kerusakan yang bisa ditimbulkan perintah buruk tetap terkurung.
Prompt persetujuan menaruh penilaian pada Anda pada saat itu, dan itu berskala buruk. Setelah banyak persetujuan, Anda mengeklik ya secara autopilot, sehingga prompt itu berhenti melindungi Anda. Sebuah sandbox memindahkan keamanan dari perhatian Anda ke lingkungan, menegakkan batas secara konsisten terlepas dari apakah Anda memperhatikan, menurut praktisi seperti INNOQ.
Ini adalah istilah dari peneliti keamanan Simon Willison untuk kombinasi yang membuat agen AI berbahaya: akses ke data pribadi, paparan pada konten tak tepercaya, dan kemampuan berkomunikasi keluar. Salah satunya saja bisa dikelola, tetapi ketiganya bersama membuat instruksi tersembunyi bisa mengeksfiltrasi data. Menghilangkan salah satu kaki memutus serangan.
Ia menyerang lethal trifecta di kakinya yang terlemah dengan memblokir akses jaringan keluar. Meski instruksi jahat yang tersembunyi dalam konten yang dibaca agen lolos, dan meski agen memegang data sensitif, tidak ada kanal untuk mengirim data itu ke mana pun. Injeksinya tetap terjadi tetapi tidak punya tempat tujuan, mengubah potensi pelanggaran menjadi kegagalan yang terkurung.
Tidak. Sebuah sandbox mengurangi risiko tetapi tidak menghapusnya: penyerang yang gigih mungkin lolos dari sandbox yang lemah, dan agen yang masih bisa menulis ke repositori Anda masih bisa commit kode buruk. Perlakukan sandboxing sebagai lapisan pertahanan paling penting Anda, jauhkan secret dan produksi dari sandbox, dan pertahankan review manusia pada apa pun yang dihasilkannya.
Ringkasan Utama
Sandboxing Claude Code menjalankan perintah bash agen di dalam lingkungan terisolasi dengan akses berkas dan jaringan yang terbatas. Ia membiarkan agen menjalankan perintah tanpa prompt untuk tiap perintah sambil membatasi apa yang bisa dijangkau perintah yang buruk atau dimanipulasi. Sandbox, bukan perhatian Anda, menjadi hal yang mencegah agen otonom menimbulkan kerusakan nyata.
Gesekan dalam agentic coding adalah prompt persetujuan. Biarkan agen menjalankan perintah dengan bebas dan ia bergerak cepat tetapi bisa melakukan apa saja; buat ia bertanya setiap kali dan Anda kembali mengasuh tool yang seharusnya menghemat tenaga Anda. Kedua pilihan itu buruk, dan jalan keluarnya bukan memercayai lebih keras melainkan mengurung.
Sandboxing adalah pengurungan itu. Alih-alih memutuskan perintah demi perintah apakah memercayai agen, Anda menjalankannya di lingkungan tempat perintah yang bisa dieksekusinya sama sekali tidak bisa menjangkau apa pun yang penting. Panduan ini menjelaskan apa yang dilakukan sandboxing Claude Code, mengapa isolasi mengalahkan prompt izin, dan bagaimana ia menjinakkan kelas serangan yang membuat agen otonom berbahaya.
Sandboxing membungkus eksekusi perintah agen dalam lingkungan terisolasi dengan dua batas: batas berkas yang membatasi berkas mana yang bisa dibaca dan ditulisnya, dan batas jaringan yang membatasi apa yang bisa dijangkaunya lewat jaringan. Di dalam tembok itu agen bisa menjalankan perintah dengan bebas; di tembok itu, upaya melangkah keluar diblokir atau harus dieskalasi kepada Anda.
Desain itu mengubah default dari bertanya menjadi bertindak, dengan aman:
Prompt izin menaruh beban pada Anda untuk menilai tiap tindakan pada saat itu, dan penilaian itu berskala buruk. Setelah persetujuan kesepuluh, Anda mengeklik ya secara autopilot, yang berarti prompt itu telah berhenti melindungi Anda dan mulai memperlambat Anda tanpa guna.
Isolasi memindahkan keamanan dari perhatian Anda ke lingkungan. Para praktisi kian berpendapat bahwa pendekatan yang benar adalah menjalankan agen dalam sandbox yang terkunci ketimbang memberi atau menolak izin satu per satu, karena container atau virtual machine menegakkan batas itu secara konsisten terlepas dari apakah Anda sedang memperhatikan, menurut tulisan INNOQ tentang development sandbox.
Cocokkan kekuatan sandbox dengan seberapa banyak otonomi yang Anda berikan. Sesi yang dibatasi ringan dan Anda awasi bisa mengandalkan sandbox bawaan, tetapi apa pun yang hendak Anda jalankan tanpa pengawasan, atau dengan persetujuan dilewati, layak berada dalam container atau virtual machine sekali pakai yang tidak memegang kredensial ke apa pun yang akan Anda sesali kehilangannya.
Peneliti keamanan Simon Willison menamai kombinasi spesifik yang membuat agen berbahaya sebagai lethal trifecta. Ia bukan salah satu kemampuan saja melainkan kehadiran ketiganya sekaligus.
Prompt injection adalah mekanisme yang mengubah trifecta menjadi pelanggaran. Instruksi yang tersembunyi dalam konten yang dibaca agen, sebuah komentar dalam berkas atau teks pada halaman yang diambil, diperlakukan sebagai perintah, dan jika agen punya data pribadi serta jalan keluar, data itu bisa pergi.
Sebuah sandbox menyerang kombinasi itu di kakinya yang terlemah. Dengan memblokir akses jaringan keluar, ia berarti bahwa meski instruksi jahat lolos dan meski agen memegang data sensitif, tidak ada kanal untuk mengirimnya ke mana pun. Injeksinya tetap terjadi, tetapi tidak punya tempat tujuan, yang mengubah potensi pelanggaran menjadi kegagalan yang terkurung.
Sebuah sandbox mengurangi risiko; ia tidak menghapusnya. Penyerang yang gigih mungkin menemukan cara lolos dari sandbox yang lemah, dan agen yang masih bisa menulis ke repositori Anda masih bisa commit kode buruk. Perlakukan sandboxing sebagai lapisan pertahanan paling penting, bukan satu-satunya, dan pertahankan review manusia pada apa pun yang dihasilkannya.
Mendapatkan nilai dari sandboxing sebagian besar soal menjadikannya default dan menyimpan jalan pintas yang tak aman untuk tempat yang benar-benar aman.
Sandboxing adalah cara coding otonom berhenti menjadi lompatan iman. Dengan membatasi berkas dan, yang krusial, jaringan, ia membiarkan agen bekerja dengan lebih sedikit prompt sambil memastikan perintah buruk tidak punya tempat berbahaya untuk dituju. Digabungkan dengan lensa lethal trifecta, perlakukan sandbox sebagai pertahanan utama Anda, jauhkan secret dan produksi dari jangkauan, dan biarkan review manusia menjaga sisanya.