Anthropic 把 Agent 整套搬进企业机房：Managed Agents 自托管私测开放

要点

• 2026-11-12，Anthropic 开放自托管版 Claude Managed Agents 私测，仅面向申请获批的企业，入口是 Anthropic 客户团队。
• 自托管的是三件东西：cma-server（对外暴露与托管版同一套 REST API、跑 agent 循环，本身不执行 shell 与文件工具）、PostgreSQL 16+（存 agent、session 与全量事件历史）、workers（在客户沙箱里跑 shell 与文件工具）。
• 模型不在内网。推理请求默认发 Claude API，也可指向 Amazon Bedrock、Google Cloud 上的 Claude 模型、Microsoft Foundry，或客户自建模型网关。出去的是对话轮次、工具入参与工具结果；走默认 Claude API 时还会带 session / agent / environment 标识。
• 凭据不进沙箱：MCP 工具与受支持的 API 调用由沙箱外的代理在请求时刻注入凭据，密钥可留在企业自有 secrets manager。三把独立的钥分别管 Server API、推理凭据与按队列的 Environment。
• 每一步都导出 OpenTelemetry，安全团队可以直接灌进现有监控。
• 与托管版差七项功能（见 FAQ），托管版数据一律不迁入，会话历史要重建。
• 取证说明：官方文档站（platform.claude.com）在本站所在区域不可达，本次未能取得官方原文。以下技术细节依据 Help Net Security、i10X、himiao.ai 与 ashutoshai 四家独立媒体对同一份文档的转述交叉核对，只写四家一致的部分，冲突项不进正文。firsthand 因此标记为 false。

背景与分析

这条新闻真正值得琢磨的不是「又多了一个部署选项」，而是信任边界被切成了两半，而且切的位置选得很讲究。

先看时间线。Managed Agents 2026-04-08 以全托管 beta 上线；5 月放开「自托管沙箱」——沙箱在客户机器上，但调度、模型调用与会话历史仍由 Anthropic 管；11-12 这一版把 cma-server 和 PostgreSQL 也交出去。三步走的是同一条路：每次只多让一寸。

再看让出去的是什么、留下的是什么：

一句话：执行权让给企业，推理权与收费入口留在厂商。对受监管行业（金融、医疗、国防供应链）来说，这恰好是「能过合规评审」的那条线——数据落地在自家库里，模型按 API 调用并签零留存协议。

但代价也写得很直白。运维责任全转给客户：打补丁、防火墙规则、配置，全是自己的活。许可证里还有几条硬约束（据四家转述一致的部分）：收到书面安全通知后 8 小时内回滚版本或禁用功能、1 个工作日内上线安全更新、agent 事故确认后 48 小时内报 Anthropic，Anthropic 自身责任上限 10 万美元。这几条对采购方的含义是：你买的不是一份保险，是一份责任清单。

还有一个容易被忽略的细节：开发用 Docker Compose，生产用 Helm，且文档明确说 Compose 那套不适合生产——它跑明文 HTTP，默认只在宿主 loopback 上暴露 8400 端口，而且 28.3.3 之前的 Docker Engine 可能把它暴露到局域网。文档还提醒：agent 工具跑在宿主容器里，这台机器上不该放任何需要保护的东西。

对开发者的影响

• 做企业 Agent 平台的团队，现在有了一个可对标的架构分层：控制面（API + 调度）、状态面（PostgreSQL 事件库）、执行面（沙箱 worker）、模型面（可换供应商）。自己造轮子时按这四层划线，比按「前端/后端」划线更贴近真实故障域。
• 「同一套 API」这件事比功能多少更重要。自托管版对外暴露与托管版相同的 REST API，意味着已有 SDK 与 ant CLI 不用改代码就能连——这是自托管方案能不能落地的分水岭。选任何自托管方案前，先问一句：API 是不是同一套。
• 七项功能缺失会直接改写方案设计。没有 Files API、没有 webhooks、MCP 的 OAuth 凭据不支持，意味着「上传文件让 agent 处理」「事件驱动触发 agent」这两类常见设计在自托管侧要另想办法。先对功能表，再谈迁移。
• 多租户要自己划。文档口径是「每套部署服务一个租户、一个信任级别」，并建议按信任边界分多套 server 部署。想做 SaaS 的团队，这一层得自己补。
• 国内团队短期拿不到（需 Anthropic 客户团队审批，且模型侧仍受区域限制），但分层思路可以直接搬：把 harness 与沙箱拆开、凭据走沙箱外代理、每步导 OTel，这三条与用哪家模型无关。

AI 之家 观点

这一周有两家公司做了方向完全相反的同一件事。Anthropic 把控制面往下放（搬进客户机房），Google 同一天把控制面往上收（Agent Gateway 跨云管 EKS / AKS / OpenShift 上的 agent）。看起来矛盾，其实是同一场争夺的两面：谁拥有 agent 的身份、策略与审计记录，谁就掌握了企业 agent 的入口。

AI 之家 推荐结论：如果你在给受监管行业做 agent 落地，自托管控制面是迟早要面对的需求，现在就该把「控制面 / 执行面 / 模型面分离」写进架构，别等到合规评审时才发现调度器和会话库是厂商独占的。但也别把它当成「数据不出门」——模型推理这一步永远在外面，任何声称「完全本地化」的方案，都要追问一句「模型跑在哪」。

需要提醒两个判断陷阱。第一，自托管不等于更安全：文档自己就写了，bash 工具继承的是 worker 进程的权限与网络可达范围，不是「沙箱内隔离」；真隔离要靠每 session 一个 pod 或一次性 VM。第二，8 小时回滚 / 1 个工作日更新这类条款，考的是你的运维当班能力——没有 7×24 值班的团队，签之前先想清楚。

相关阅读

• 同日相反路线：Google Agent Gateway 跨云治理
• 概念：Agent 控制面 · Agent 沙箱 · Agent Harness · fail-closed
• 工具卡：Claude Code · OpenAI Agents API · Dify

来源

• { title: "Anthropic Opens Self-Hosted Claude Managed Agents in Private Beta（Help Net Security 报道，经 AI Weekly 转述）", url: "https://aiweekly.co/alerts/anthropic-opens-self-hosted-claude-managed-agents-in-private-beta" }
• { title: "Anthropic Opens Self-Hosted Claude Managed Agents in Private Beta（i10X，含 Docker Compose 与凭据代理细节）", url: "https://i10x.ai/news/anthropic-self-hosted-claude-managed-agents-private-beta" }
• { title: "Anthropic Opens Self-Hosted Claude Managed Agents in Private Beta（himiao.ai，含七项缺失功能与许可证义务）", url: "http://himiao.ai/en/news/2026-11-13-anthropic-self-hosted-managed-agents" }
• { title: "Anthropic opens self-hosted Claude Managed Agents in private beta（Ashutosh AI，含三把钥与部署组件清单）", url: "https://ashutoshai.com/ai-compass/2026/11/12/anthropic-self-hosted-claude-managed-agents" }
• { title: "Anthropic News（同期背景核对；官方文档站本次区域不可达，未能取得原文）", url: "https://www.anthropic.com/news" }