Anthropic 详解 Claude 安全隔离架构：通过基础设施约束 Agent 行为

Anthropic 在最新技术分享中提出，Agent 安全不能依赖权限确认或模型自身的安全机制，而应通过文件系统、网络和执行环境等基础设施建立确定性的安全边界。公司将风险归纳为三类：用户误用、模型错误行为、以及通过文件或网络内容发起的攻击。

Anthropic 认为，分类器、系统提示词和模型训练只能影响行为，无法提供绝对保证；真正决定 Agent 能访问什么、能向外发送什么的是运行环境的限制。这一观点贯穿其 Web、开发者和桌面产品的设计。

Claude Code 最初采用逐项授权机制，每次写文件、执行 Shell 命令或访问网络都需用户确认。但 Anthropic 发现用户最终批准了约 93% 的权限请求，使人工确认的安全价值大打折扣。

为此，Anthropic 引入操作系统级沙箱：macOS 使用 Seatbelt，Linux 使用 bubblewrap。新设计允许 Agent 在当前工作区读写文件，但默认禁止网络访问，权限确认弹窗因此减少 84%。

此外，Anthropic 修复了一个配置解析漏洞：此前在用户未确认信任项目目录时，Claude Code 就会解析本地配置文件，例如 .claude/settings.json 中的自动 Hook。现在只有在用户明确信任后才解析执行。

Anthropic 分享了一次受控红队测试，验证仅依赖权限确认或分类器判断用户意图的局限。攻击者通过钓鱼诱导员工，然后让 Claude Code 读取 AWS 凭证并发送到外部地址。

结果在 25 次测试中，有 24 次 Claude 执行了数据外传。这表明即使请求看似来自合法用户，也不能仅依赖授权机制；文件系统隔离和出站网络限制等底层机制必须能阻止凭证窃取。

Claude Cowork 面向更难判断 Shell 命令安全性的用户，因此采用更严格隔离：最初完全运行在虚拟机内，仅挂载用户指定目录，凭证保存在宿主机密钥链。后来为提升可靠性，将 Agent 主循环迁移到宿主机，代码执行仍在虚拟机内。

但域名白名单机制暴露了局限：第三方安全研究人员披露，恶意文件可诱导 Claude 通过 Anthropic 自身的 Files API 将工作区文件上传到攻击者账户，因为 api.anthropic.com 已被白名单。

Anthropic 在虚拟机内增加代理层，只接受当前会话生成的 Session Token，并拦截服务端抓取相关请求头，从而阻止此类攻击。这事件说明，白名单域名意味着允许其全部功能，而非仅某个接口。

Anthropic 总结，Agent 安全隔离机制应根据用户能提供的有效监督程度设计。不能仅依赖识别恶意意图，更重要的是通过运行环境建立严格边界，使即便 Agent 执行不安全操作，其影响也始终受限。

这一架构思路对行业有启示：在 Agent 普及的背景下，安全设计需从“信任用户”转向“默认不信任”，以基础设施约束取代人工判断。