Cara Menjalankan Agen AI di Sandbox: File, Jaringan, Kredensial

• Mengira pembacaan ikut dikurung

  Sandbox default membiarkan perintah membaca ~/.ssh dan file kredensial cloud, serta meneruskan environment variable Anda. Daftarkan semuanya di sandbox.credentials, atau perintah yang dibajak tetap bisa membacanya.

• Melupakan tool file

  sandbox.credentials dan denyRead hanya berlaku untuk perintah shell. Tool Read mengikuti aturan izin, jadi tambahkan aturan deny yang sepadan, misalnya Read(~/.ssh/**), untuk menutupnya.

• Sandbox yang diam-diam tidak aktif

  Jika sandbox tidak bisa dimulai, misalnya karena bubblewrap atau socat tidak terpasang di Linux, Claude Code menjalankan perintah tanpa sandbox secara default. Atur failIfUnavailable ke true, lalu jalankan dua uji coba itu.

• Entri allowlist yang lebih luas dari kelihatannya

  Mengizinkan domain yang luas seperti github.com membuat perintah bisa menjangkau apa pun yang bisa dilakukan sebuah akun di sana, dan proxy tidak memeriksa TLS secara default. Tambahkan host satu per satu, dan tanyakan apa yang bisa dilakukan akun jahat di masing-masing host.

1. 1

   Buat file rahasia palsu dan token palsu, lalu jalankan Claude Code di folder latihan.

   echo not-a-real-key > ~/fake-creds.txt
   export FAKE_TOKEN=not-a-real-token
   mkdir -p ~/sandbox-practice && cd ~/sandbox-practice && claude

   Salin
2. 2

   Jalankan /sandbox dan pilih mode-nya. Lalu minta Claude menjalankan dua uji coba itu. Keduanya seharusnya gagal; tolak jika Claude meminta mengulangnya di luar sandbox.

   /sandbox
   touch ~/sandbox-probe
   curl --noproxy '*' https://example.com

   Salin
3. 3

   Minta Claude menjalankan dua perintah ini. Keduanya berhasil, karena pembacaan dan environment variable terbuka secara default.

   cat ~/fake-creds.txt
   echo $FAKE_TOKEN

   Salin
4. 4

   Tutup pintu bacanya. Tambahkan key berikut ke .claude/settings.local.json, tempat /sandbox menyimpan mode Anda, lalu jalankan ulang Claude Code.

   {
     "sandbox": {
       "enabled": true,
       "credentials": {
         "files": [{ "path": "~/fake-creds.txt", "mode": "deny" }],
         "envVars": [{ "name": "FAKE_TOKEN", "mode": "deny" }]
       }
     },
     "permissions": {
       "deny": ["Read(~/fake-creds.txt)"]
     }
   }

   Salin
5. 5

   Minta dua perintah yang sama lagi: pembacaan file gagal dan variabelnya tercetak kosong. Lalu minta Claude membuka file itu dengan tool Read; yang menolaknya adalah aturan deny di izin, bukan sandbox.

   cat ~/fake-creds.txt
   echo $FAKE_TOKEN

   Salin
6. 6

   Bersihkan file latihan setelah selesai.

   rm -f ~/fake-creds.txt ~/sandbox-probe
   unset FAKE_TOKEN

   Salin

Dari: 3. Indirect Prompt Injection: Kenapa Output Tool Tak Tepercaya · 1. Apa Itu MCP Server? Begini Perjalanan Satu Tool Call

1. 1.Mengapa sandbox melindungi Anda dari prompt injection, sementara prompt izin belum tentu?Lihat jawabannya

   Jawaban:Prompt bergantung pada manusia yang membaca setiap permintaan dengan teliti. Sandbox ditegakkan sistem operasi pada proses yang sedang berjalan, jadi tetap bertahan meski model sudah terbujuk menjalankan sesuatu.

2. 2.Agen Anda perlu membaca issue dari satu host API internal. Apa yang Anda tambahkan, dan apa yang perlu ditanyakan dulu?Lihat jawabannya

   Jawaban:Tambahkan satu host itu ke allowedDomains dan jangan yang lebih luas. Tanyakan dulu apa yang bisa dilakukan proses jahat dengan sebuah akun di host itu, karena host yang diizinkan adalah sekumpulan kemampuan, bukan sekadar tujuan.

3. 3.Kapan sandbox shell bawaan Claude Code tidak cukup jika dipakai sendirian?Lihat jawabannya

   Jawaban:Saat agen berjalan sepenuhnya tanpa pengawasan, atau saat ada MCP server, hooks, atau tool file yang tidak sepenuhnya Anda percayai. Dalam kasus itu, seluruh agen harus berada di dalam container, VM, atau sandbox runtime.

• sandbox agen coding AI dan kelelahan persetujuan
• sandbox agen coding AI melawan lethal trifecta
• sandboxing Bash di Claude Code
• Docker Sandboxes: menjalankan agent di microVM dan memindahkannya ke cloud