Встроенная песочница Claude Code по умолчанию разрешает командам…

Встроенная песочница Claude Code по умолчанию разрешает командам писать только в рабочий каталог и временную папку, а сеть пускает через прокси, список разрешённых доменов в котором изначально пуст. Так описано в документации на дату 25.10.2026.

На Linux её обеспечивают bubblewrap и socat, на macOS системный Seatbelt. Но песочница одного инструмента закрывает не всё. Пять правил, которые работают с любым агентом:

1. Отдельный пользователь без sudo. Агент с правами вашего пользователя видит ~/.ssh и ~/.aws. Документация Claude Code отдельно отмечает, что чтение таких файлов по умолчанию разрешено и закрывается настройкой filesystem.denyRead.
2. Контейнер или виртуалка для всего, что запускается без подтверждения. Удалить можно только то, что смонтировано внутрь.
3. Белый список команд вместо чёрного. Список запретов всегда что-то упускает, разрешения проще проверить глазами.
4. Нет сетевого доступа к проду. Ключи от боевой базы не должны лежать в окружении агента, переменные окружения наследуются.
5. Снапшот или чистый git перед запуском. Тогда любой rm -rf откатывается одной командой.

Ещё одна деталь из документации: если команда падает в песочнице, агент может попросить повторить её без песочницы. В строгом режиме такой повтор отключается.

Документация: https://code.claude.com/docs/en/sandboxing

Где у вас запускается агент: на рабочей машине или в контейнере?