Claude Code のサンドボックスを段階的に有効化する

まず強制力を発揮させるための準備

Linux では境界は本物の OS の仕組みです。bubblewrap がプロセスを閉じ込め、socat がトラフィックをプロキシまで運びます。macOS には同等品がすでに入っているので、このセクションは読み飛ばして構いません。

1. 1

   bubblewrap と socat を入れる

   実際に Claude Code を動かす Linux ディストリビューションで、サンドボックスが必要とする 2 つを入れます：sudo apt-get install bubblewrap socat。apt はここで 3 パッケージ（bubblewrap、libwrap0、socat）を解決し、472 kB と報告しています。macOS ではこのセクションごとスキップで OK です。Seatbelt は OS の一部です。

   

2. 2

   ネイティブインストーラーで Claude Code を入れる

   依存関係のあとに CLI を入れます：curl -fsSL https://claude.ai/install.sh | bash。収録では npm ではなくネイティブインストーラーを使っています。資料では両方の経路に触れたうえで、サンドボックスにはこの機能を備えた新しいビルドが必要、と書かれています。

   

3. 3

   Anthropic のサンドボックスランタイムを追加する

   同じ資料がもう 1 つ追加しているのが npm install -g @anthropic-ai/sandbox-runtime です。Claude Code が Bash ツールを包み込むランタイムで、単体でも他のツールに使えます。たとえば MCP サーバーを 1 フォルダに閉じ込めたいときなどです。このコマンドを打つ時点では、プロジェクトの設定はまだ存在しません。.claude/settings.json は開かれていて、中身は空です。

   

settings.json に境界を書く

sandbox オブジェクト 1 つ、その下に filesystem と network。この後のセッションの挙動は、すべてここに書いた内容から決まります。

1. 4

   sandbox オブジェクトを書く

   プロジェクトに .claude/settings.json を作り、sandbox キーを足します。収録では enabled: true と failIfUnavailable: true。サンドボックスが確保できないセッションは、無防備に走るのではなく起動を拒否します。filesystem には denyRead: ["../"] と allowRead: ["."]。プロジェクトは読めて、その親ディレクトリは読めません。この 2 行より上にある allowUnsandboxedCommands と autoAllowBashIfSandboxed の値は、エディターのミニマップに隠れているので、ここには書き写しません。

   

2. 5

   本当に必要なドメインだけを列挙する

   承認の挙動を決めるのが network サブオブジェクトです。収録では allowUnixSockets を空にし、allowAllUnixSockets: false、allowLocalBinding: false、allowedDomains には example.com の 1 件だけ。トラフィックは檻の外側にあるプロキシへ出されるため、リストにないドメインは黙って破棄ではなく、質問に変わります。

   

3. 6

   既定値がどちらに振れているか把握する

   資料は開始地点をはっきり書いています。読み取りは既定でマシン全体、書き込みはプロジェクト内だけ、ただし Claude Code が動くために不可欠なファイルを除外、と。denyRead と allowRead が狙うのは前半のほうです。緩い側の境界が SSH 鍵や .env に届いてしまうからです。同じ資料は、逃げ道を塞ぎたいなら "allowUnsandboxedCommands": false を推奨しています。

   

セッションを始めて、隔離されていることを確認する

Claude Code が最初の画面で教えてくれますが、最初の 1 コマンドでも確かめられます。

1. 7

   claude を起動して一行目を読む

   プロジェクトで Claude Code を起動します。この画面のバージョンは v2.1.118 で、ウェルカムボックスの真下に Your bash commands will be sandboxed. Disable with /sandbox. と出ます。この一行がチェックポイントです。出なければサンドボックスは効いていません。設定ファイルとランタイム導入に戻ってください。

   

2. 8

   bash モードでファイル境界を確かめる

   プロンプトから ! cat ../hello.txt と直接実行します。ファイルは実在します。上のエディターで開いていて、エクスプローラーでもホーム階層に見えています。それでも隔離されたシェルは cat: ../hello.txt: No such file or directory。denyRead: ["../"] とはこれで、パスが確認ダイアログの向こうに隠れるのではなく、そもそも存在しなくなります。

   

3. 9

   リストにあるドメインを取りに行く

   ! curl "https://example.com" は 528 バイトと Example Domain の HTML を返してきます。allowedDomains の唯一の項目がこのホストだからです。続く ! curl "https://github.com" はまだ Running...。プロキシには github.com の規則がないので、失敗ではなく待機です。

   

4. 10

   セッションを開き直して定着を確かめる

   資料のステップ 8 は、設定を変えた後に毎回やるべき確認です。claude を閉じて起動し直し、サンドボックス化を示すメッセージが出るか見ます。設定は起動時にしか読まれないので、一行が出ない編集は、読み込まれていない編集と同じことです。

   

ネットワークの確認プロンプト、その後に起きること

コマンド単位の承認に代わって出てくる質問です。1 ドメイン 1 回、反射ではなくプロキシが聞いてきます。

1. 11

   ネットワークの確認に答える

   待ちは、コマンド単位の承認とは種類が違うダイアログで終わります。Network request outside of sandbox、行き先は Host: に単独行、そして Do you want to allow this connection?。選択肢は 3 つで、Yes、Yes, and don’t ask again for github.com、No, and tell Claude what to do differently (esc)。日常を軽くするのは真ん中です。ホストを 1 回認めれば、その後の同じホストへの要求は静かになります。

   

2. 12

   拒否したときに何が起きるか見る

   ダイアログの次のコマンドプロンプトには、0 バイトが並転送テーブルと curl: (56) CONNECT tunnel failed, response 403。プロキシがトンネルを開かなかったので、コマンドは走るけど何も受け取れません。収録ではどの選択肢を押したか映っていないので、ここはクリックの記録ではなく「拒否された結果」として読んでください。

   

3. 13

   サンドボックスが守らない範囲を覚える

   注意書きはそのまま引用する価値があります。いちばん誤解されている点だからです。Sandboxing only applies to how Claude uses the Bash tool。組み込みの Read・Edit・Write は Claude Code の Permissions 側で設定します。サンドボックスはセッション全体を箱に入れるのではなく、シェルコマンドの下に床を敷る仕組みです。ファイル系ツールは別途ルールが必要です。

   

続けて読む