Anthropic开放Claude Managed Agents自托管版私有测试，代码凭证不再离开公司网络

Anthropic 开放了 Claude Managed Agents 自托管版的私有测试。开发者可以把代理放进自己的云或本地环境，直接在公司代码和内部系统里干活。

Managed Agents 是一套构建和部署自主代理的 API，提供代理执行框架、沙箱、凭证处理和会话历史。最初它只以托管服务的形式出现在 Claude 平台上，基础设施由 Anthropic 运行。后来为了让代码必须留在自己环境的团队也能用，Anthropic 加了自托管沙箱选项。

代理能干的活越来越多，也越干越关键：修复损坏的构建、测试发布、分类告警、处理 bug 积压。这些活儿要求代理没人盯着也能自动运行，还得能访问内部系统。对权限这么大的代理，有些团队希望整个服务都在自己环境里，不只是沙箱。在此之前，团队只能自己搭建一整套平台。

自托管版把执行框架、沙箱、凭证、会话历史全部放进用户自己的云或本地环境。服务器、数据库、跑 shell 和文件工具的 worker，都由用户自己运营维护。

模型请求发到哪儿，用户自己定：可以直接发给 Anthropic，也可以走云提供商的通道，还能接自己的网关。云提供商包括 Amazon Bedrock、Google 的 Agent Platform、Microsoft Foundry。有云合同的企业可以继续用现有合同，AI 流量不用绑死在一家云上。

开发者的构建方式没变，自托管版和托管版用同一套核心 API。已经在托管版上开发过的团队可以直接迁移，不用重写。会话历史存在自己的数据库里。组织如果跟 Anthropic 签过零数据保留协议，发给 Claude 的请求同样适用——和普通 Messages API 调用一样。

代理要碰内部系统，Anthropic 把安全做进架构。Managed Agents 按四项原则设计。三种部署方式都成立：Anthropic 全部托管、用户只托管沙箱、用户托管整个服务。

大脑和手分开

执行框架是大脑，负责调用 Claude；沙箱是手，跑代理代码。两者按设计分开。代理代码在沙箱里跑，代理循环、会话历史、vault 密钥都留在沙箱外。代理不依赖单个沙箱活完整个运行过程。沙箱只在工具需要时启动，会话历史作为事件日志存在沙箱外。某个沙箱崩溃或被攻破，代理循环和会话记录不受影响。

凭证留在沙箱外

Vaults 专门把凭证排除在沙箱外。MCP 工具和受支持的 API 调用，沙箱外的代理会在请求里加上凭证。自托管时，用户还能把凭证放进自己的密钥管理器。就算沙箱里的代码被诱导去干恶意操作，也拿不到 API 密钥。

网络访问可以限制

每个环境可以配置允许访问的主机列表，其他主机的请求全部被拦。比如一个修复损坏构建的代理，允许列表可能只需要 git 主机和包注册表。自己托管沙箱的团队，在自家防火墙里设置同样的限制。代理就算行为异常，也没法把数据发到未授权的外部地址。

每个会话留下完整记录

Managed Agents 记录代理采取的每一步，包括工具调用和返回内容。记录通过 OpenTelemetry 导出，能接进企业现有的监控工具，和其余系统一起审查代理活动。运维和安全团队不用另建监控体系。

想用自托管版，联系 Anthropic 客户团队申请访问，文档里有更多说明。

服务还在私有测试阶段。申请门槛、定价、自托管版和托管版的功能差异，这些都没公开；正式开放时间也没说。这些没说明白的地方，直接决定企业值不值得把代理从托管方案迁到自己的服务器上。