Sandboxing

​

Aperçu

​

Pourquoi le sandboxing est important

• Fatigue d’approbation : Cliquer répétitivement sur « approuver » peut amener les utilisateurs à prêter moins attention à ce qu’ils approuvent
• Productivité réduite : Les interruptions constantes ralentissent les flux de travail de développement
• Autonomie limitée : Claude Code ne peut pas fonctionner aussi efficacement en attendant les approbations

1. Définissant des limites claires : Spécifiez exactement quels répertoires et hôtes réseau Claude Code peut accéder
2. Réduisant les demandes de permission : Les commandes sûres dans le sandbox ne nécessitent pas d’approbation
3. Maintenant la sécurité : Les tentatives d’accès aux ressources en dehors du sandbox déclenchent des notifications immédiates
4. Permettant l’autonomie : Claude Code peut fonctionner plus indépendamment dans les limites définies

​

Comment ça marche

​

Isolation du système de fichiers

• Comportement d’écriture par défaut : Accès en lecture et écriture au répertoire de travail actuel et à ses sous-répertoires
• Comportement de lecture par défaut : Accès en lecture à l’ensemble de l’ordinateur, sauf certains répertoires refusés
• Accès bloqué : Impossible de modifier les fichiers en dehors du répertoire de travail actuel sans permission explicite
• Configurable : Définissez des chemins autorisés et refusés personnalisés via les paramètres

​

Isolation réseau

• Restrictions de domaine : Seuls les domaines approuvés peuvent être accédés
• Confirmation de l’utilisateur : Les nouvelles demandes de domaine déclenchent des demandes de permission (sauf si allowManagedDomainsOnly est activé, ce qui bloque automatiquement les domaines non autorisés)
• Support de proxy personnalisé : Les utilisateurs avancés peuvent implémenter des règles personnalisées sur le trafic sortant
• Couverture complète : Les restrictions s’appliquent à tous les scripts, programmes et sous-processus générés par les commandes

​

Application au niveau du système d’exploitation

• macOS : Utilise Seatbelt pour l’application du sandbox
• Linux : Utilise bubblewrap pour l’isolation
• WSL2 : Utilise bubblewrap, comme Linux

​

Démarrage

​

Prérequis

sudo apt-get install bubblewrap socat

sudo dnf install bubblewrap socat

​

Activer le sandboxing

/sandbox

​

Modes de sandbox

​

Configurer le sandboxing

​

Accorder l’accès en écriture des sous-processus à des chemins spécifiques

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "allowWrite": ["~/.kube", "/tmp/build"]
    }
  }
}

{
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

​

Avantages de sécurité

​

Protection contre l’injection de prompt

• Impossible de modifier les fichiers de configuration critiques tels que ~/.bashrc
• Impossible de modifier les fichiers au niveau du système dans /bin/
• Impossible de lire les fichiers qui sont refusés dans vos paramètres de permission Claude

• Impossible d’exfiltrer les données vers des serveurs contrôlés par l’attaquant
• Impossible de télécharger des scripts malveillants à partir de domaines non autorisés
• Impossible de faire des appels API inattendus vers des services non approuvés
• Impossible de contacter des domaines non explicitement autorisés

• Toutes les tentatives d’accès en dehors du sandbox sont bloquées au niveau du système d’exploitation
• Vous recevez des notifications immédiates lorsque les limites sont testées
• Vous pouvez choisir de refuser, d’autoriser une fois ou de mettre à jour définitivement votre configuration

​

Surface d’attaque réduite

• Dépendances malveillantes : Packages NPM ou autres dépendances avec du code nuisible
• Scripts compromis : Scripts de construction ou outils avec des vulnérabilités de sécurité
• Ingénierie sociale : Attaques qui trompent les utilisateurs pour qu’ils exécutent des commandes dangereuses
• Injection de prompt : Attaques qui trompent Claude pour qu’il exécute des commandes dangereuses

​

Fonctionnement transparent

1. L’opération est bloquée au niveau du système d’exploitation
2. Vous recevez une notification immédiate
3. Vous pouvez choisir de :
   • Refuser la demande
   • L’autoriser une fois
   • Mettre à jour votre configuration de sandbox pour l’autoriser définitivement

​

Limitations de sécurité

• Limitations du sandboxing réseau : Le système de filtrage réseau fonctionne en restreignant les domaines auxquels les processus sont autorisés à se connecter. Il n’inspecte pas autrement le trafic passant par le proxy et les utilisateurs sont responsables de s’assurer qu’ils n’autorisent que les domaines de confiance dans leur politique.

• Escalade de privilèges via les sockets Unix : La configuration allowUnixSockets peut accorder involontairement l’accès à des services système puissants qui pourraient entraîner des contournements du sandbox. Par exemple, si elle est utilisée pour autoriser l’accès à /var/run/docker.sock, cela accorderait effectivement l’accès au système hôte en exploitant le socket docker. Les utilisateurs sont encouragés à examiner attentivement tous les sockets Unix qu’ils autorisent via le sandbox.
• Escalade de permissions du système de fichiers : Les permissions d’écriture du système de fichiers trop larges peuvent permettre des attaques d’escalade de privilèges. Autoriser les écritures dans les répertoires contenant des exécutables dans $PATH, les répertoires de configuration système ou les fichiers de configuration du shell utilisateur (.bashrc, .zshrc) peut entraîner l’exécution de code dans différents contextes de sécurité lorsque d’autres utilisateurs ou processus système accèdent à ces fichiers.
• Force du sandbox Linux : L’implémentation Linux fournit une isolation forte du système de fichiers et du réseau mais inclut un mode enableWeakerNestedSandbox qui lui permet de fonctionner à l’intérieur des environnements Docker sans espaces de noms privilégiés. Cette option affaiblit considérablement la sécurité et ne doit être utilisée que dans les cas où une isolation supplémentaire est autrement appliquée.

​

Comment le sandboxing se rapporte aux permissions

• Les permissions contrôlent quels outils Claude Code peut utiliser et sont évaluées avant l’exécution de tout outil. Elles s’appliquent à tous les outils : Bash, Read, Edit, WebFetch, MCP et autres.
• Le sandboxing fournit une application au niveau du système d’exploitation qui restreint ce que les commandes Bash peuvent accéder au niveau du système de fichiers et du réseau. Il s’applique uniquement aux commandes Bash et à leurs processus enfants.

• Utilisez sandbox.filesystem.allowWrite pour accorder l’accès en écriture des sous-processus à des chemins en dehors du répertoire de travail
• Utilisez sandbox.filesystem.denyWrite et sandbox.filesystem.denyRead pour bloquer l’accès des sous-processus à des chemins spécifiques
• Utilisez sandbox.filesystem.allowRead pour réautoriser la lecture de chemins spécifiques dans une région refusée
• Utilisez les règles de refus Read et Edit pour bloquer l’accès à des fichiers ou répertoires spécifiques
• Utilisez les règles d’autorisation/refus WebFetch pour contrôler l’accès au domaine
• Utilisez les allowedDomains du sandbox pour contrôler quels domaines les commandes Bash peuvent atteindre

​

Utilisation avancée

​

Configuration de proxy personnalisée

• Déchiffrer et inspecter le trafic HTTPS
• Appliquer des règles de filtrage personnalisées
• Enregistrer toutes les demandes réseau
• Intégrer avec l’infrastructure de sécurité existante

{
  "sandbox": {
    "network": {
      "httpProxyPort": 8080,
      "socksProxyPort": 8081
    }
  }
}

​

Intégration avec les outils de sécurité existants

• Règles de permission : Combinez avec les paramètres de permission pour une défense en profondeur
• Conteneurs de développement : Utilisez avec devcontainers pour une isolation supplémentaire
• Politiques d’entreprise : Appliquez les configurations de sandbox via les paramètres gérés

​

Meilleures pratiques

1. Commencez restrictif : Commencez avec des permissions minimales et développez selon les besoins
2. Surveillez les journaux : Examinez les tentatives de violation du sandbox pour comprendre les besoins de Claude Code
3. Utilisez des configurations spécifiques à l’environnement : Différentes règles de sandbox pour les contextes de développement par rapport à la production
4. Combinez avec les permissions : Utilisez le sandboxing aux côtés des politiques IAM pour une sécurité complète
5. Testez les configurations : Vérifiez que vos paramètres de sandbox ne bloquent pas les flux de travail légitimes

​

Open source

npx @anthropic-ai/sandbox-runtime <command-to-sandbox>

​

Limitations

• Surcharge de performance : Minimale, mais certaines opérations du système de fichiers peuvent être légèrement plus lentes
• Compatibilité : Certains outils qui nécessitent des modèles d’accès système spécifiques peuvent nécessiter des ajustements de configuration, ou même devront être exécutés en dehors du sandbox
• Support de plateforme : Supporte macOS, Linux et WSL2. WSL1 n’est pas supporté. Le support natif de Windows est prévu.

​

Ce que le sandboxing ne couvre pas

• Outils de fichiers intégrés : Read, Edit et Write utilisent le système de permissions directement plutôt que de s’exécuter via le sandbox. Consultez permissions.
• Utilisation de l’ordinateur sur le bureau : Lorsque Claude ouvre des applications et contrôle votre écran sur macOS, il s’exécute sur votre bureau réel plutôt que dans un environnement isolé. Les invites de permission par application contrôlent chaque application. Consultez utilisation de l’ordinateur.

​

Voir aussi

• Sécurité - Fonctionnalités de sécurité complètes et meilleures pratiques
• Permissions - Configuration des permissions et contrôle d’accès
• Paramètres - Référence de configuration complète
• Référence CLI - Options de ligne de commande