Anthropic hat eine umfassende Dokumentation veröffentlicht, die erklärt, wie Agenten in den verschiedenen Claude-Produkten eingedämmt werden. Claude.ai nutzt gVisor als Prozess-Sandbox, Claude Code setzt auf macOS-Seatbelt bzw. Linux-Bubblewrap, und Claude Cowork fährt vollständige VMs auf – Apples Virtualization Framework unter macOS und HCS unter Windows. Das Ziel ist laut Anthropic eine harte Grenze: Wenn Credentials niemals in die Sandbox gelangen, können sie auch nicht exfiltriert werden – unabhängig davon, ob die Ursache ein Nutzer, ein Modell oder ein Angreifer ist. Die Dokumentation enthält auch ehrliche Berichte über übersehene Risiken, darunter den bereits bekannten Exfiltrations-Vektor über api.anthropic.com/v1/files. Simon Willison hebt hervor, dass gründliche Sandbox-Dokumentation in der Branche selten ist, und kündigt an, das Open-Source-Tool Anthropic Sandbox Runtime (srt) nun ernsthaft zu evaluieren.