Sandbox запускает shell-команды с ограничениями операционной системы и отвечает на вопрос, принципиально иной, чем permissions. Permission flow решает, нужно ли спросить пользователя перед запуском; sandbox решает, что процесс физически может прочитать, записать и куда подключиться. Это два независимых слоя, и путать их нельзя: можно разрешить команду без запроса и одновременно жёстко ограничить, к чему у неё есть доступ. Sandbox поддерживается на macOS, Linux и WSL2.

Конфигурация sandbox описывает три границы: файловую систему, сеть и credentials. По файловой системе задают, куда можно писать (allowWrite), что нельзя читать (denyRead) и что читать разрешено (allowRead); при включённой изоляции рабочий и временный каталог сессии доступны на запись по умолчанию, остальное выдают явно. По сети - allowlist доменов и сокетов, по credentials - файлы и переменные окружения с режимом deny или mask.

Важнейшая тонкость - у sandbox свой синтаксис путей, не совпадающий с permission rules. Здесь /tmp/build - обычный абсолютный путь, тильда - home, точка-слэш или путь без префикса - относительно корня проекта для project-настроек и относительно ~/.claude для user-настроек. Для пересекающихся read-правил выигрывает более конкретный путь: можно запретить весь home и открыть только один подкаталог. Массивы путей из разных scopes при этом объединяются.

Auto-allow связывает sandbox с разрешениями. С autoAllowBashIfSandboxed равным true команда, которую удалось запустить в sandbox, может выполниться без обычного prompt - но ограничения sandbox при этом не ослабляются, меняется лишь необходимость спрашивать. С false sandbox тот же, но shell-команды проходят обычный permission flow. Plan mode при этом имеет отдельную, более строгую логику и не должен неожиданно расширяться за счёт auto-allow.

У sandbox есть escape hatch, и его надо контролировать сознательно. Если команда несовместима с sandbox, Claude может повторить её с входом dangerouslyDisableSandbox:true - тогда она выполнится снаружи и вернётся в обычный permission flow. Полностью запретить такой retry можно ключом allowUnsandboxedCommands: false - в /sandbox это strict sandbox mode. Если escape hatch оставлен, практичный контроль - явный ask-правило на Bash(dangerouslyDisableSandbox:true), чтобы выход из песочницы всегда подтверждался.