🔥 Anthropic показала, почему AI-агентов нельзя защищать только кнопкой «разрешить» Anthropic разобрала, как изолирует Claude в claude.ai, Claude Code и Claude Cowork. Самое важное: пользовательские approvals быстро перестают быть защитой. В Claude Code люди подтверждали около 93% запросов на разрешение. Когда агент постоянно спрашивает доступ, человек начинает кликать почти автоматически. Поэтому Anthropic всё больше переносит безопасность из промптов и предупреждений в среду выполнения: sandbox, VM, ограничения файловой системы, запрет лишней сети и scoped credentials. В статье есть хорошие реальные кейсы. Claude Code раньше мог читать локальный конфиг проекта ещё до trust prompt. В другом тесте red team заставил сотрудника запустить агент с промптом, который просил прочитать ~/.aws/credentials и отправить данные наружу. Модель выполнила это в 24 из 25 попыток. Отдельно интересен случай с egress allowlist. Домен api.anthropic.com был разрешён, потому что без него продукт не работает. Но через Anthropic Files API данные всё равно можно было загрузить в аккаунт атакующего. Вывод для разработчиков агентов простой: allowlist доменов, prompts и classifiers не решают проблему сами по себе. Нужны жёсткие границы на уровне окружения. Агент должен не просто «понимать, что нельзя», а физически не иметь возможности сделать лишнее. https://www.anthropic.com/engineering/how-we-contain-claude