当智能体已经在无人值守的情况下修改代码、测试发版、处理告警时，只把沙箱放在自己的环境里，对一些团队来说已经不够了。Anthropic 推出了自托管版 Claude Managed Agents：客户在自有云或机房里运行整套服务，会话记录和凭证留在自己的环境里，并自行决定模型请求发往何处。
Anthropic 的介绍页没有标注发布日期。Help Net Security 将这次私有预览的上线日期写为 11 月 12 日。目前只能通过 Anthropic 客户团队申请访问，官方没有公布标价，也没有给出可核对的生产部署案例。
以前只能自托管沙箱，现在连控制平面一起搬走
Claude Managed Agents 是一套用来创建、启动和运行自主智能体的 API。它提供运行框架（harness）、沙箱、凭证处理和会话记录。此前，Anthropic 先推出了由自己托管的云服务，后来又允许客户只自托管沙箱，也就是智能体执行命令、读写文件的隔离环境；运行框架、会话记录和凭证处理仍由 Anthropic 负责。
自托管 Managed Agents 把第二档向前推了一步。官方文档用一张表区分三档：默认的云沙箱是沙箱、服务和模型都由 Anthropic 运行；自托管沙箱只把沙箱交给客户；自托管 Managed Agents 则由客户同时托管沙箱和服务，模型可以走 Anthropic，也可以走客户指定的推理提供方。
在这套布置里，客户要自己运行三样东西：名为 cma-server 的服务端、PostgreSQL 16 或更高版本的数据库，以及在沙箱里执行 shell 和文件工具的 worker。没有数据库时，服务端把数据放在内存里，重启就会丢失。开发者仍使用与托管版相同的核心 API，SDK 和 ant 命令行也可以指向自己的服务器。服务端软件的许可是《Claude Managed Agents Server 软件许可协议》，并不是开源协议。
模型请求仍会离开客户网络
控制平面留下来，不等于推理也留在周界内。文档写明，每次模型调用时，服务端会把截至当时的对话发给推理提供方，其中包含工具的输入和返回结果。默认提供方是 Claude API；按文档，客户也可以改走 Amazon Bedrock、Google Cloud 上由 Google 托管的 Claude 模型、Microsoft Foundry，或自己的模型网关。官方介绍页把 Google 一侧写成 Google's Agent Platform。
如果走的是 Claude API，请求里还会带上本次会话、智能体和环境的标识。Anthropic 写明，若客户已经与它签了零数据留存协议，这些请求的处理方式与普通的 Messages API 调用相同。会话历史可以不出自己的数据库，但要让模型继续工作，提示词和工具结果仍会到达客户选定的推理端。
文档还把三类凭证分开。服务端 API 密钥给客户自己的应用和命令行，用来访问这台服务器；推理凭证只由服务端持有，用来向模型提供方发起调用；环境密钥则给负责轮询任务队列的 worker。应用和 worker 不需要拿着推理凭证。
凭证不进沙箱，允许清单和日志要自己设对
Anthropic 把这套系统设计概括为四条原则，并写明无论谁来托管，原则都适用。运行框架负责调用模型，沙箱负责执行代码，两者分开；智能体循环、会话记录和密钥库（vault）里的密钥留在沙箱之外，沙箱只在工具需要时才启动。对 MCP 工具和受支持的 API 调用，沙箱外的代理会把凭证加到请求上，凭证不进入沙箱。自托管客户还可以把新的密钥库密钥存进自己的密钥管理服务。每个环境可以限制允许访问的主机，其余请求会被拦截；如果沙箱由客户自己托管，这些限制要写进客户自己的防火墙。每一步工具调用和返回结果都会留下记录，并可经 OpenTelemetry 导出到已有的监控系统。
这些是产品设计，不是已经过第三方验证的防护效果。文档同时把安全责任交给了客户：智能体的 bash 工具是带有 worker 进程权限和网络访问能力的真实 shell，隔离来自 worker 所在的容器或虚拟机，而不是工具本身。客户还要自己安装每个版本，并负责保护服务端、托管记忆存储，以及发现异常使用。Help Net Security 也提醒，凭证代理的保护范围限于 MCP 工具和“受支持的 API 调用”，智能体若还要访问其他服务，需要另行检查。
和托管版并不完全一样
差异文档列了一长串例外。自托管服务器上没有 Files API，也不能使用 file 会话资源；没有 webhook，因此不能靠 webhook 拉起 worker；没有预置的 Word、PDF、PowerPoint 和 Excel 技能，客户必须自行上传；也没有托管版里的定时部署，以及名为 dreams 的功能。多智能体编排只接受客户预先列出的子智能体，动态工作流、顾问角色，以及由智能体自己定义的子智能体都不可用。从托管服务迁移时，会话历史也不会自动带过来，智能体、技能、凭证和记忆存储都要在新服务器上重建。
自托管也多了几项托管版没有的能力：选择推理提供方、用客户自己的 OpenID Connect 身份提供方做单点登录、把密钥放到自有密钥管理服务，以及为智能体签发短时令牌，供 MCP 服务器校验身份。这些功能都要客户自己配置。文档还写明，web 搜索、抓取网页、Git 主机和 MCP 主机在默认设置下是关闭或拒绝全部主机的，必须在服务器配置里逐项打开。
对需要把会话记录和凭证留在自己周界内的团队，这是一套可以自己运行的控制平面。它并不等于把 Claude 整套搬进内网。现在还不知道哪些客户已经拿到预览权限，也不知道他们能否在缺失功能和自行运维的成本下，把无人值守的智能体跑起来。
