最近，Anthropic 的工程团队分享了三款 AI 产品——claude.ai、Claude Code 和 Claude Cowork——在安全隔离系统构建上的实战经验。

这三款产品分别面向普通用户、开发者和企业用户，隔离策略和风险模型各有侧重。

但核心原则始终如一：环境层隔离优先。

claude.ai：面向普通用户的临时容器方案

先看面向普通用户的 claude.ai。这里采用了基于 gVisor 的临时容器方案。

每次用户发起会话，系统就自动生成一个临时容器。会话一结束，容器立马销毁。

这种设计确保用户与 AI 的交互是短暂且安全的。资源访问和能力都做了严格限制。

即便发生风险事件，影响范围也仅限当次会话。

Claude Code：面向开发者的操作系统级沙箱

对于开发者，Claude Code 用上了操作系统级的沙箱机制来优化工作流程。

默认情况下，开发者使用时无法访问网络。这样能大幅减少频繁弹出的权限提示，体验提升明显。

数据也很能说明问题：权限提示的出现频率降低了 84%。

当然，如果开发者确实需要网络访问，通过明确授权可以临时放开。

Claude Cowork：面向企业用户的虚拟机级隔离

到了安全需求最高的企业用户，Claude Cowork 直接上了虚拟机级别的隔离方案。

这种方案保证与主机系统完全分离，安全性更高。

但代价也很明确：与宿主系统的集成能力有所下降，也给安全监控带来了新挑战。

安全事件带来的直接警示

文章还提到了几起安全事件。其中最扎眼的是通过钓鱼攻击实施提示词注入。

在 24 次测试中，成功率竟然高达 96%。

此外，还有利用攻击者控制的 API 密钥进行数据窃取等问题。

这些事件倒逼着 Anthropic 持续改进安全架构。

三条关键原则

• 第一，环境层隔离优先，模型层引导为辅；
• 第二，隔离强度必须与用户监督能力匹配；
• 第三，警惕定义组件。

这三条原则不仅对 Anthropic 自己的产品设计有指导意义，对整个行业也是一记响亮的警钟。

划重点

• 环境层隔离优先，不同产品用不同隔离策略来提升安全性。
• 角色定位明确——claude.ai、Claude Code 和 Claude Cowork 分别针对普通用户、开发者和企业用户设计。
• 安全事件是实打实的警示：钓鱼攻击的高成功率，推动着安全措施持续迭代。