😸

Claude Code Sandboxの技術的なところ

2025/10/21に公開

 1. エグゼクティブサマリーClaude Codeのsandbox技術は、AIエージェントを安全に実行するための革新的なアプローチです。従来のパーミッションベースのモデルでは、ユーザーは各コマンド実行時に承認を求められ、「承認疲れ」により本来確認すべき危険な操作も無意識に承認してしまうリスクがありました。
Claude Codeのサンドボックスは、この問題を根本的に解決します。事前に明確な境界を定義し、その境界内ではClaudeが自由に動作できるようにすることで、セキュリティと生産性の両立を実現しています。内部テストでは、パーミッション要求を84%削減しながら、セキュリティレベルは向上しています。

 主要な特徴
OSレベルの隔離: LinuxではBubblewrap、macOSではSeatbeltを使用した強力な隔離機構

二重の防御層: ファイルシステムとネットワークの両方を隔離

プロンプトインジェクション対策: 攻撃者がClaudeを騙しても、システムへの影響を完全に遮断

コンテナ不要: 軽量でオーバーヘッドの少ない実装

オープンソース: @anthropic-ai/sandbox-runtimeとして公開され、誰でも利用可能

 2. サンドボックス技術の基礎
 2.1 サンドボックスとはサンドボックスとは、プログラムを隔離された環境で実行し、システムの他の部分へのアクセスを制限する技術です。文字通り「砂場」のように、限定された安全な場所で遊ばせることで、万が一問題が発生しても被害を最小限に抑えることができます。

 2.2 従来の課題従来のパーミッションベースのセキュリティモデルでは、以下の問題がありました：

承認疲れ: 繰り返される承認要求により、ユーザーが注意を払わなくなる

生産性の低下: 頻繁な中断により開発ワークフローが遅くなる

自律性の制限: AIエージェントが承認待ちで効率的に動作できない

 2.3 サンドボックスによる解決サンドボックスアプローチは以下を実現します：

明確な境界定義: アクセス可能なディレクトリとネットワークホストを事前に指定

承認要求の削減: サンドボックス内の安全なコマンドは承認不要

セキュリティ維持: サンドボックス外へのアクセス試行は即座に通知

自律性の向上: 定義された範囲内でClaudeが独立して動作

 3. アーキテクチャ概要Claude Codeのサンドボックスは、3つの主要コンポーネントで構成されています。

 3.1 全体構成┌─────────────────────────────────────────┐
│  1. OSレベルの隔離機構                   │
│     (Bubblewrap / Seatbelt)             │
├─────────────────────────────────────────┤
│  2. プロキシサーバー                     │
│     (ネットワークトラフィックの制御)      │
├─────────────────────────────────────────┤
│  3. 違反検出システム                     │
│     (リアルタイムモニタリング)            │
└─────────────────────────────────────────┘

 3.2 二重の防御戦略効果的なサンドボックスには、ファイルシステムとネットワークの両方の隔離が必須です。どちらか一方だけでは不十分な理由：


欠けている防御
セキュリティリスク


ネットワーク隔離なし
侵害されたプロセスがSSHキーや機密ファイルを外部に送信できてしまう

ファイルシステム隔離なし
プロセスがサンドボックスから脱出し、無制限のネットワークアクセスを取得できてしまう

💡 重要 : 両方を組み合わせることで、多層防御（Defense in Depth）を実現し、単一の障害点を排除しています。

 4. プラットフォーム別実装
 4.1 Linux: BubblewrapLinuxでは、Bubblewrap (bwrap) を使用してサンドボックスを実装しています。Bubblewrapは、Flatpakなどのコンテナツールでも使用されている、実績のあるサンドボックス技術です。

 Bubblewrapの仕組みBubblewrapは、Linuxの 名前空間（namespace） 機能を活用して隔離を実現します。


名前空間の種類
機能
セキュリティ効果


マウント名前空間
独立したファイルシステムビューを作成
ホストのファイルシステムから完全に隔離

ユーザー名前空間
(CLONE_NEWUSER)
現在のuidとgid以外を隠蔽
権限昇格攻撃を防止

PID名前空間
(CLONE_NEWPID)
サンドボックス外のプロセスを不可視化
他のプロセスへの干渉を防止

ネットワーク名前空間
(CLONE_NEWNET)
独立したネットワークスタックを作成
直接的なネットワークアクセスを遮断


 技術的特徴
空のマウント名前空間: ルートは不可視のtmpfs上に配置され、プロセス終了時に自動クリーンアップ

最小限のケーパビリティ: CAP_SYS_ADMINなど必要最小限の権限のみを保持

TOCTTOU攻撃対策: 常に呼び出し元のuidでファイルシステムにアクセスすることで、Time-of-check to time-of-use攻撃を完全に防止

PR_SET_NO_NEW_PRIVS: setuidバイナリを無効化し、従来のchroot脱出手法を無効化

 コマンド例# 基本的なBubblewrapの使用例
bwrap --ro-bind /usr /usr \
      --ro-bind /bin /bin \
      --ro-bind /lib /lib \
      --proc /proc \
      --dev /dev \
      --tmpfs /tmp \
      --unshare-all \
      /usr/bin/bash
このコマンドは以下を実行します：
システムディレクトリを読み取り専用でマウント
/procと/devを作成
/tmpを一時ファイルシステムとして作成
すべての名前空間を分離
bashシェルを起動

 4.2 macOS: SeatbeltmacOSでは、Apple独自の Seatbelt技術（sandbox-exec） を使用しています。SeatbeltはmacOSのカーネル拡張として実装され、システム全体のサンドボックス機能を提供します。

 Seatbeltの仕組みSeatbeltはMACF（Mandatory Access Control Framework）を使用して、プロセスが試行する可能性のあるほとんどすべての操作（syscallを含む）にフックを持っています。
Seatbeltの主要コンポーネント:
カーネル拡張: /System/Library/Extensions/Sandbox.kext
プロファイル言語: SBPL (Sandbox Profile Language) - Schemeベース
実行コマンド: sandbox-exec
ビルトインプロファイル: /usr/share/sandbox/

 技術的特徴
宣言的な制御: Schemeベースの言語でサンドボックスポリシーを定義

システムレベルの統合: App Sandboxを含むmacOSのセキュリティ機能と連携

詳細な操作制御: ファイル、ネットワーク、IPC、プロセス操作などを個別に制御可能

リアルタイム違反ログ: システムログストアに違反情報を詳細に記録

 プロファイル例; 基本的なSeatbeltプロファイル
(version 1)
(deny default)
(debug deny)

; ファイル読み取りを許可
(allow file-read*)

; 特定ディレクトリへの書き込みを許可
(allow file-write*
  (regex "^/private/var/tmp(/|$)"))

; ネットワークアクセスを拒否
(deny network*)
このプロファイルは以下を実行します：
デフォルトですべてを拒否
ファイル読み取りのみ許可
/private/var/tmpへの書き込みのみ許可
すべてのネットワークアクセスを拒否
違反をログに記録

 5. ファイルシステム隔離の詳細ファイルシステム隔離は、サンドボックスの第一の防御線です。Claude Codeは、デフォルトで安全な設定を採用し、必要に応じて柔軟にカスタマイズできる設計になっています。

 5.1 デフォルトの権限モデル

操作
デフォルト動作
理由


読み取り
どこでも許可
コードの参照や依存関係の読み込みに必要

書き込み
カレントディレクトリのみ
プロジェクトファイルのみ変更可能にして安全性を確保

拒否パスの読み取り
ブロック
機密情報（~/.ssh等）へのアクセスを防止

カレントディレクトリ外への書き込み
ブロック（要承認）
システムファイルやホームディレクトリの保護


 5.2 プラットフォーム別の実装詳細
 Linux (Bubblewrap)Linuxでは、 バインドマウント を使用してファイルシステムアクセスを制御します。

読み取り専用マウント: --ro-bindでシステムディレクトリを読み取り専用でマウント

読み書き可能マウント: --bindでカレントディレクトリを読み書き可能でマウント

一時ファイルシステム: --tmpfsで/tmpなどを一時領域として作成
# 実装例
bwrap \
  --ro-bind /usr /usr \           # システムディレクトリ（読み取り専用）
  --ro-bind /lib /lib \           # ライブラリ（読み取り専用）
  --bind ~/project ~/project \    # プロジェクトディレクトリ（読み書き可能）
  --tmpfs /tmp \                  # 一時領域
  --unshare-all \
  bash

 macOS (Seatbelt)macOSでは、動的に生成されたSeatbeltプロファイルでファイルアクセスを制御します。

正規表現パターン: パスパターンマッチングで柔軟な制御

Globパターン対応: **/*.tsなどのワイルドカードが使用可能

リアルタイム評価: 各ファイル操作時にポリシーを評価
; 実装例
(version 1)
(deny default)

; プロジェクトディレクトリのみ書き込み許可
(allow file-write*
  (regex "^/Users/username/project(/|$)"))

; SSHキーの読み取りを拒否
(deny file-read*
  (regex "^/Users/username/.ssh(/|$)"))

 5.3 カスタマイズ可能な設定Claude Codeでは、settings.jsonファイルで権限を細かく制御できます。
{
  "permissions": {
    "allow": [
      "Edit(src/)",           // srcディレクトリへの書き込み許可
      "Edit(test/)",          // testディレクトリへの書き込み許可
      "Edit(/tmp)",           // 一時ファイルの作成許可
      "Read(.)"               // カレントディレクトリの読み取り
    ],
    "deny": [
      "Edit(.env)",           // 環境変数ファイルの変更禁止
      "Edit(secrets/)",       // 秘密情報ディレクトリの変更禁止
      "Read(~/.ssh)"          // SSH鍵の読み取り禁止
    ]
  }
}
パス構文の特徴:
絶対パス: /home/user/.ssh
相対パス: ./src
ホームディレクトリ: ~で展開
ワイルドカード（macOS）: src/**/*.tsで再帰的にマッチング

 6. ネットワーク隔離の詳細ネットワーク隔離は、データ流出を防ぐ重要な防御層です。Claude Codeは、プロキシベースのアーキテクチャを採用し、すべてのネットワークトラフィックを監視・制御します。

 6.1 プロキシアーキテクチャネットワーク隔離は、ホスト上で実行される2種類のプロキシサーバーによって実現されます。


プロキシ種類
対応プロトコル
用途


HTTPプロキシ
HTTP/HTTPS
Webアクセス、API呼び出し、パッケージダウンロード

SOCKS5プロキシ
その他のTCP
SSH接続、データベース接続、カスタムプロトコル


 6.2 プラットフォーム別の通信経路
 Linux: Unixドメインソケット経由Linuxでは、ネットワーク名前空間を完全に削除し、Unixドメインソケット経由でのみ通信を許可します。
通信フロー:
┌──────────────────────────┐
│  サンドボックス内         │
│  (ネットワーク名前空間なし)│
│                          │
│  アプリケーション          │
│       ↓                  │
│  環境変数でプロキシ設定    │
│  (HTTP_PROXY, etc.)      │
│       ↓                  │
│  Unixドメインソケット      │
│  /tmp/proxy.sock         │
└──────────┬───────────────┘
           │
    [バインドマウント]
           │
┌──────────▼───────────────┐
│  ホスト                   │
│                          │
│  socat (ブリッジ)         │
│       ↓                  │
│  HTTPプロキシ/SOCKS5      │
│  (localhost:8888)        │
│       ↓                  │
│  ドメイン制限を適用        │
│       ↓                  │
│  許可されたドメインのみ    │
│  外部ネットワークへ        │
└──────────────────────────┘
socatの役割:
socatは「SOcket CAT」の略で、2つのデータストリームを双方向に接続するツールです。
# 使用例
socat UNIX-LISTEN:/tmp/proxy.sock,fork TCP:localhost:8888
この例では、Unixソケット(/tmp/proxy.sock)とTCPポート(localhost:8888)をブリッジし、サンドボックス内のプロセスがホストのプロキシにアクセスできるようにします。

 macOS: localhostポート経由macOSでは、Seatbeltプロファイルで特定のlocalhostポートのみへの接続を許可します。
通信フロー:
┌──────────────────────────┐
│  サンドボックス内         │
│                          │
│  アプリケーション          │
│       ↓                  │
│  環境変数でプロキシ設定    │
│  (HTTP_PROXY, etc.)      │
│       ↓                  │
│  localhost:8888          │
│  (Seatbeltで許可)        │
└──────────┬───────────────┘
           │
    [localhostのみ許可]
           │
┌──────────▼───────────────┐
│  ホスト (同一マシン)      │
│                          │
│  HTTPプロキシ/SOCKS5      │
│  (localhost:8888でリッスン)│
│       ↓                  │
│  ドメイン制限を適用        │
│       ↓                  │
│  許可されたドメインのみ    │
│  外部ネットワークへ        │
└──────────────────────────┘

 6.3 ドメイン制御の詳細プロキシサーバーは、設定ファイルに基づいてドメインへのアクセスを制御します。
{
  "permissions": {
    "allow": [
      "WebFetch(domain:github.com)",
      "WebFetch(domain:api.github.com)",
      "WebFetch(domain:*.npmjs.org)",  // ワイルドカード対応
      "WebFetch(domain:pypi.org)"
    ],
    "deny": [
      "WebFetch(domain:malicious.com)"
    ]
  }
}

 新しいドメインへのアクセスサンドボックス内のプロセスが許可されていないドメインにアクセスしようとすると：
プロキシがリクエストをブロック
ユーザーに即座に通知
ユーザーは3つの選択肢を持つ:

拒否 - リクエストをブロック

一度だけ許可 - 今回のみアクセスを許可

永続的に許可 - 設定ファイルに追加して今後も許可


 7. 違反検出とモニタリングサンドボックスの効果的な運用には、違反の検出とモニタリングが不可欠です。Claude Codeは、プラットフォームごとに最適化された違反検出機構を提供します。

 7.1 macOS: システムログストア統合macOSでは、システムのサンドボックス違反ログストアに直接アクセスし、リアルタイムで詳細な情報を取得します。

 リアルタイム監視コマンド# リアルタイムでサンドボックス違反を表示
log stream --predicate 'process == "sandbox-exec"' --style syslog

 違反ログの内容macOSの違反ログには以下の情報が含まれます：

試行された操作の種類 (file-read-data, network-outbound等)

対象のリソース (ファイルパス、ネットワークアドレス)
違反したプロセスのPIDと名前
タイムスタンプ
ブロックされた理由

 違反ログの例Dec 22 14:58:08 macbook sandboxd[12281] ([12280]):
python(12280) deny file-read-data /Users/user/.ssh/id_rsa
この例では、pythonプロセスがSSH秘密鍵の読み取りを試みてブロックされました。

 7.2 Linux: strace手動トレーシングLinuxでは、Bubblewrapに組み込みの違反レポート機能がないため、straceを使用してシステムコールをトレースします。

 基本的なトレースコマンド# すべての拒否された操作をトレース
strace -f srt <コマンド> 2>&1 | grep EPERM

# ファイル操作のみトレース
strace -f -e trace=open,openat,stat,access srt <コマンド> 2>&1 | grep EPERM

# ネットワーク操作のみトレース
strace -f -e trace=network srt <コマンド> 2>&1 | grep EPERM

 出力例openat(AT_FDCWD, "/home/user/.ssh/id_rsa", O_RDONLY) = -1 EPERM
connect(3, {sa_family=AF_INET, ...}, 16) = -1 EPERM
📝 注: 将来的には、straceベースの自動違反検出をLinuxにも実装する計画があります。

 8. セキュリティモデルと脅威対策Claude Codeのサンドボックスは、多層防御（Defense in Depth）の原則に基づいて設計されており、様々な攻撃シナリオに対する保護を提供します。

 8.1 プロンプトインジェクション攻撃への対策プロンプトインジェクションは、AIエージェントに対する主要な脅威の一つです。攻撃者が巧妙に作成されたプロンプトを使用してAIの動作を操作しようとする攻撃です。

 攻撃シナリオと防御

攻撃の試み
サンドボックスなし
サンドボックスあり


~/.bashrcの改変
✗ 成功 - 永続的なコード実行
✓ ブロック - 書き込み不可

/bin/内のファイル改変
✗ 成功 - システム破壊
✓ ブロック - 読み取り専用

SSHキーの窃取
✗ 成功 - 認証情報漏洩
✓ ブロック - 読み取り拒否

攻撃者サーバーへの接続
✗ 成功 - データ流出
✓ ブロック - ドメイン未許可

マルウェアのダウンロード
✗ 成功 - 感染
✓ ブロック - ドメイン未許可

未承認のAPI呼び出し
✗ 成功 - 不正操作
✓ ブロック - ドメイン未許可

⚠️ 重要: サンドボックス外へのアクセス試行は、すべてOSレベルでブロックされ、ユーザーに即座に通知されます。

 8.2 その他の脅威への対策
 悪意のある依存関係NPMパッケージや他の依存関係に含まれる有害なコードからシステムを保護します。

ファイルシステム制限: プロジェクトディレクトリ外への書き込みをブロック

ネットワーク制限: 未承認のサーバーへの接続をブロック

 侵害されたスクリプトビルドスクリプトやツールのセキュリティ脆弱性を悪用する攻撃を防ぎます。

サンドボックス内での実行: すべてのスクリプトが制限された環境で実行

子プロセスの制限: スクリプトが起動するすべてのプロセスにも制限が適用

 ソーシャルエンジニアリングユーザーを騙して危険なコマンドを実行させる攻撃に対する追加の防御層を提供します。

境界の明確化: 何が許可され何が許可されないかを事前に定義

異常な動作の通知: 通常のワークフローを逸脱した試行を即座に報告

 9. 設定と運用
 9.1 サンドボックスの有効化Claude Codeでサンドボックスを有効にするには、/sandboxスラッシュコマンドを実行するだけです。
/sandbox

 9.2 設定ファイルの階層設定は優先順位に従って複数のファイルからロードされ、マージされます。


優先度
ファイルパス
用途


最高
コマンドライン --settings

一時的なテスト設定

高
ポリシー設定
(/etc/claude-code/ または
/Library/Application Support/)
組織全体のポリシー

中
$CWD/.claude/settings.local.json
プロジェクト固有のローカル設定

中
$CWD/.claude/settings.json
プロジェクト設定（VCS管理推奨）

低
~/.claude/settings.json
ユーザーデフォルト設定


 9.3 実践的な設定例
 例1: Web開発プロジェクト{
  "sandbox": {
    "enabled": true
  },
  "permissions": {
    "allow": [
      "Edit(src/)",
      "Edit(public/)",
      "Edit(test/)",
      "Read(.)",
      "WebFetch(domain:npmjs.org)",
      "WebFetch(domain:*.npmjs.org)",
      "WebFetch(domain:registry.npmjs.org)",
      "WebFetch(domain:github.com)",
      "WebFetch(domain:api.github.com)"
    ],
    "deny": [
      "Edit(.env)",
      "Edit(.env.local)",
      "Read(~/.ssh)",
      "Read(~/.aws)"
    ]
  }
}

 例2: Python機械学習プロジェクト{
  "sandbox": {
    "enabled": true,
    "network": {
      "allowLocalBinding": true  // Jupyter notebook用
    }
  },
  "permissions": {
    "allow": [
      "Edit(src/)",
      "Edit(notebooks/)",
      "Edit(data/)",
      "Edit(models/)",
      "Read(.)",
      "WebFetch(domain:pypi.org)",
      "WebFetch(domain:files.pythonhosted.org)",
      "WebFetch(domain:github.com)"
    ],
    "deny": [
      "Edit(.env)",
      "Read(~/.ssh)",
      "Read(~/sensitive_data/)"
    ]
  }
}

 9.4 ベストプラクティス✓ 最小権限の原則: 最小限の権限から始め、必要に応じて拡張
✓ ログの監視: 違反試行を定期的にレビューしてClaudeの動作を理解
✓ 環境別設定: 開発環境と本番環境で異なるサンドボックスルールを使用
✓ IAMポリシーとの組み合わせ: 包括的なセキュリティのためにサンドボックスとIAMポリシーを併用
✓ 設定のテスト: サンドボックス設定が正当なワークフローをブロックしないことを確認

 10. 技術的制限事項とセキュリティ考慮事項Claude Codeのサンドボックスは強力なセキュリティ機構ですが、いくつかの制限事項と注意すべき点があります。これらを理解し、適切に対処することで、より安全な環境を構築できます。

 10.1 ネットワークサンドボックスの制限⚠️ 警告: ネットワークフィルタリングの制限

ドメイン制限のみ: プロキシを通過するトラフィックの内容は検査されません

ドメインフロンティング: 場合によってはバイパスが可能

データ流出のリスク: 許可されたドメイン（例: github.com）を悪用したデータ流出が可能
対策: カスタムMITMプロキシを使用して、トラフィックの内容を検査・フィルタリング

 10.2 Unixソケットによる権限昇格⚠️ 警告: allowUnixSocketsの危険性
特定のUnixソケット（例: /var/run/docker.sock）へのアクセスを許可すると、サンドボックスバイパスが可能になります。
例: Dockerソケットへのアクセス = ホストシステムへの完全なアクセス
推奨: 許可するUnixソケットは慎重に検討し、必要最小限に制限

 10.3 ファイルシステム権限昇格過度に広範なファイルシステム書き込み権限は、権限昇格攻撃を可能にする危険性があります。

 危険な設定例
$PATH内の実行可能ファイルへの書き込み: コマンドを置き換えて任意のコードを実行可能

シェル設定ファイルへの書き込み: ~/.bashrcや~/.zshrcを改変して永続的なコード実行

システム設定ディレクトリへの書き込み: 他のユーザーやシステムプロセスに影響

 推奨される対策プロジェクトディレクトリのみに書き込み権限を限定
重要な設定ファイルは明示的に拒否
定期的に権限設定をレビュー

 10.4 Linuxの弱体化されたサンドボックスモードLinuxには、Docker環境内で動作させるための「enableWeakerNestedSandbox」モードがありますが、これはセキュリティを大幅に弱めます。
⚠️ 警告: 弱体化されたモードの使用
このモードは、追加の隔離が別途強制されている場合にのみ使用してください。
通常の環境では絶対に使用しないでください。

 10.5 互換性の問題
 パフォーマンスオーバーヘッド最小限だが、一部のファイルシステム操作がわずかに遅くなる可能性
通常の開発作業では体感できないレベル

 ツールの互換性特定のシステムアクセスパターンを必要とするツールは設定調整が必要
一部のツールはサンドボックス外で実行する必要がある場合も
例: Jestは--no-watchmanフラグが必要

 プラットフォームサポート
Linux: ✓ 完全サポート

macOS: ✓ 完全サポート

Windows: ⏳ 計画中（未サポート）

 11. オープンソース化とコミュニティAnthropicは、より安全なAIエージェントエコシステムの構築を支援するため、Claude Codeのsandbox runtimeをオープンソースとして公開しました。

 11.1 npmパッケージsandbox runtimeは、@anthropic-ai/sandbox-runtimeとしてnpmで公開されており、誰でも利用できます。
# インストール
npm install @anthropic-ai/sandbox-runtime

 11.2 主な使用例
 コマンドラインツールとして# 任意のコマンドをサンドボックス内で実行
srt "curl https://example.com"

# デバッグモードで実行
srt --debug "npm install"

 ライブラリとしてconst { SandboxManager } = require('@anthropic-ai/sandbox-runtime');
const { spawn } = require('child_process');

// サンドボックスを初期化
await SandboxManager.initialize();

// コマンドをラップ
const sandboxedCommand = await SandboxManager.wrapWithSandbox(
  'curl https://example.com'
);

// 実行
const child = spawn(sandboxedCommand, { shell: true });

 MCPサーバーのサンドボックス化Model Context Protocol (MCP) サーバーをサンドボックス化することで、その機能を制限できます。
// .mcp.json
{
  "mcpServers": {
    "filesystem": {
      "command": "srt",
      "args": ["npx", "-y", "@modelcontextprotocol/server-filesystem"]
    }
  }
}

 11.3 コミュニティへの貢献Anthropicは、AIエージェントコミュニティ全体がより安全で自律的なシステムを構築できるよう、この技術を公開しています。

GitHubリポジトリ: github.com/anthropic-experimental/sandbox-runtime

研究プレビュー: 初期段階だが、実用的な機能を提供

フィードバック歓迎: AIエージェントをデフォルトで安全にするための改善を募集

 12. まとめと今後の展望
 12.1 主要な成果Claude Codeのsandbox技術は、AIエージェントのセキュリティと生産性の両立という難題に対する革新的な解決策を提供しています。
主要な達成事項:
✓ 84%のパーミッション要求削減 - ユーザーの負担を大幅に軽減
✓ セキュリティの向上 - プロンプトインジェクション攻撃への強力な防御
✓ 軽量な実装 - コンテナ不要でオーバーヘッド最小
✓ OSレベルの隔離 - BubblewrapとSeatbeltによる強固な防御
✓ オープンソース化 - コミュニティ全体の利益に貢献

 12.2 技術的な意義この技術は、AIエージェントのセキュリティに関する重要な洞察を提供しています。

多層防御の重要性: ファイルシステムとネットワークの両方を隔離する必要性を実証

OSレベルの隔離の有効性: アプリケーションレベルの制御だけでは不十分であることを示唆

プロンプトインジェクション対策: AIモデルの改善だけでなく、インフラストラクチャレベルの防御が必要

 12.3 今後の改善予定
 短期的な改善
Linuxの自動違反検出: straceベースの統合された違反モニタリング

Proxychainsサポート: LD_PRELOADを使用した低レベルのネットワーク傍受

Windowsサポート: Windows Sandboxまたは類似技術の統合

 長期的なビジョン
標準化: AIエージェントのサンドボックス技術の業界標準を確立

エコシステムの構築: 他のAIツールやプラットフォームとの統合を促進

継続的な改善: コミュニティのフィードバックを基に機能を拡張

 12.4 結論Claude Codeのsandbox技術は、AIエージェントの安全な実行に向けた大きな前進を表しています。OSレベルの隔離、多層防御、そしてユーザビリティへの配慮を組み合わせることで、セキュリティと生産性の両立を実現しました。
オープンソース化により、この技術はClaude Codeだけでなく、AIエージェントエコシステム全体に貢献します。より多くの開発者やチームがこの技術を採用し、フィードバックを提供することで、AIエージェントのセキュリティはさらに向上していくでしょう。
💡 重要な洞察: AIエージェントの時代において、セキュリティは単なるオプションではなく、必須要件です。Claude Codeのsandbox技術は、その要件を満たすための実用的で効果的なソリューションを提供しています。

 付録
 付録A: 参考リソース
 公式ドキュメントClaude Code公式ドキュメント: https://docs.claude.com/en/docs/claude-code/overview
サンドボックス技術解説: https://docs.claude.com/en/docs/claude-code/sandboxing
エンジニアリングブログ: https://www.anthropic.com/engineering/claude-code-sandboxing

 オープンソースリポジトリsandbox-runtime: https://github.com/anthropic-experimental/sandbox-runtime
Claude Code: https://github.com/anthropics/claude-code

 関連技術Bubblewrap: https://github.com/containers/bubblewrap
Apple Sandbox Guide: https://reverse.put.as/wp-content/uploads/2011/09/Apple-Sandbox-Guide-v1.0.pdf
socat Documentation: https://www.systutorials.com/docs/linux/man/1-socat/

 付録B: 用語集

用語
説明


サンドボックス
プログラムを隔離された環境で実行し、システムへのアクセスを制限する技術

Bubblewrap
Linuxでの軽量サンドボックス実装。Flatpakなどで使用

Seatbelt
macOSのサンドボックス技術。カーネル拡張として実装

名前空間 (Namespace)
Linuxカーネルの機能で、プロセスから見えるシステムリソースを隔離

プロンプトインジェクション
AIモデルを騙して意図しない動作をさせる攻撃手法

MACF
Mandatory Access Control Framework。macOSの強制アクセス制御フレームワーク

socat
2つのデータストリームを双方向に接続するツール

TOCTTOU攻撃
Time-of-check to time-of-use攻撃。チェックと使用の間の時間差を悪用

MCP
Model Context Protocol。AIモデルとツール間の標準プロトコル

多層防御
複数の独立したセキュリティ層を組み合わせる防御戦略


 付録C: トラブルシューティング
 よくある問題と解決策問題1: Jestがサンドボックス内で動作しない
# 解決策: --no-watchmanフラグを使用
srt "jest --no-watchman"
問題2: Linuxでプロキシが機能しない
環境変数を確認してください：
echo $HTTP_PROXY
echo $HTTPS_PROXY
echo $ALL_PROXY
問題3: macOSで違反ログが表示されない
ログストリーミングの権限を確認：
sudo log stream --predicate 'process == "sandbox-exec"' --style syslog

欠けている防御	セキュリティリスク
ネットワーク隔離なし	侵害されたプロセスがSSHキーや機密ファイルを外部に送信できてしまう
ファイルシステム隔離なし	プロセスがサンドボックスから脱出し、無制限のネットワークアクセスを取得できてしまう

名前空間の種類	機能	セキュリティ効果
マウント名前空間	独立したファイルシステムビューを作成	ホストのファイルシステムから完全に隔離
ユーザー名前空間 (CLONE_NEWUSER)	現在のuidとgid以外を隠蔽	権限昇格攻撃を防止
PID名前空間 (CLONE_NEWPID)	サンドボックス外のプロセスを不可視化	他のプロセスへの干渉を防止
ネットワーク名前空間 (CLONE_NEWNET)	独立したネットワークスタックを作成	直接的なネットワークアクセスを遮断

操作	デフォルト動作	理由
読み取り	どこでも許可	コードの参照や依存関係の読み込みに必要
書き込み	カレントディレクトリのみ	プロジェクトファイルのみ変更可能にして安全性を確保
拒否パスの読み取り	ブロック	機密情報（~/.ssh等）へのアクセスを防止
カレントディレクトリ外への書き込み	ブロック（要承認）	システムファイルやホームディレクトリの保護

プロキシ種類	対応プロトコル	用途
HTTPプロキシ	HTTP/HTTPS	Webアクセス、API呼び出し、パッケージダウンロード
SOCKS5プロキシ	その他のTCP	SSH接続、データベース接続、カスタムプロトコル

攻撃の試み	サンドボックスなし	サンドボックスあり
~/.bashrcの改変	✗ 成功 - 永続的なコード実行	✓ ブロック - 書き込み不可
/bin/内のファイル改変	✗ 成功 - システム破壊	✓ ブロック - 読み取り専用
SSHキーの窃取	✗ 成功 - 認証情報漏洩	✓ ブロック - 読み取り拒否
攻撃者サーバーへの接続	✗ 成功 - データ流出	✓ ブロック - ドメイン未許可
マルウェアのダウンロード	✗ 成功 - 感染	✓ ブロック - ドメイン未許可
未承認のAPI呼び出し	✗ 成功 - 不正操作	✓ ブロック - ドメイン未許可

優先度	ファイルパス	用途
最高	コマンドライン `--settings`	一時的なテスト設定
高	ポリシー設定 (`/etc/claude-code/` または `/Library/Application Support/`)	組織全体のポリシー
中	`$CWD/.claude/settings.local.json`	プロジェクト固有のローカル設定
中	`$CWD/.claude/settings.json`	プロジェクト設定（VCS管理推奨）
低	`~/.claude/settings.json`	ユーザーデフォルト設定

用語	説明
サンドボックス	プログラムを隔離された環境で実行し、システムへのアクセスを制限する技術
Bubblewrap	Linuxでの軽量サンドボックス実装。Flatpakなどで使用
Seatbelt	macOSのサンドボックス技術。カーネル拡張として実装
名前空間 (Namespace)	Linuxカーネルの機能で、プロセスから見えるシステムリソースを隔離
プロンプトインジェクション	AIモデルを騙して意図しない動作をさせる攻撃手法
MACF	Mandatory Access Control Framework。macOSの強制アクセス制御フレームワーク
socat	2つのデータストリームを双方向に接続するツール
TOCTTOU攻撃	Time-of-check to time-of-use攻撃。チェックと使用の間の時間差を悪用
MCP	Model Context Protocol。AIモデルとツール間の標準プロトコル
多層防御	複数の独立したセキュリティ層を組み合わせる防御戦略