设想一个代码 Agent 写完补丁，停下来等人批准它改生产系统。普通云主机在等待期间照常计费；如果是本地进程，一关机，工作目录和运行状态可能一起丢掉。9 月 21 日，DigitalOcean 向所有用户开放 Managed Agents 公测，想把这段“要等、又不能丢”的状态做成云服务：每个会话跑在一台独立的 microVM 里，可以暂停、恢复、打检查点和分叉；调用外部工具用的凭证放在会话外的网关里。
这次发布和模型能力无关，改的是模型外面那层基础设施：长任务怎么保存现场，暂停时哪些资源停止计费，Agent 能调用哪些工具，高风险操作由谁批准。不想自己搭沙箱、OAuth 代理和会话状态服务的团队，可以直接用这一套。
暂停保存的是整个工作现场
Managed Agents 由两项服务组成。Harness Runtime 负责执行，每个会话分到一台专属的 Firecracker microVM，有自己的计算资源和文件系统。Action Gateway 负责把外部工具接进会话。开发者可以直接运行 Claude Code、Codex CLI、OpenCode、Hermes 和基于 LangGraph 的 Agent，也可以把自己的 Agent 打包成 OCI 容器镜像。
Firecracker 是一款开源虚拟化工具，用 Linux 的 KVM 建立硬件隔离，只给客户机提供最少的模拟设备，比普通虚拟机更轻。DigitalOcean 在上面加了会话生命周期：暂停时给工作状态做快照，恢复后文件、进程和上下文都还在；检查点可以分叉成新的独立会话，几个方案从同一个现场分头继续，不用重新克隆仓库、装依赖、重建对话。
Agent 的工作节奏是一阵一阵的：编译、跑测试时要大量 CPU，等模型返回、等外部工具、等人审批时几乎不用。函数计算适合一次请求用完就释放，常驻虚拟机适合一直跑，Agent 两头都不太合适。暂停、恢复和分叉，就是为这种节奏设计的接口。
凭证不进沙箱，权限规则要自己写
Action Gateway 把 500 多家服务商的 16,000 多个工具放在同一个 MCP 端点后面。这个数字说的是目录规模，不代表每个连接器的权限粒度、稳定性和审计能力都一样。
凭证的处理方式是这项服务的重点。API key 或 OAuth token 由网关在执行时代为使用，不进入模型上下文，也不进 microVM 沙箱。一次工具调用的流程是：Agent 在 microVM 里发起调用；网关先确认这个工具在当前会话的选择范围内，再按工具和参数匹配权限规则；规则是 allow 就执行，deny 就拒绝，ask 就等人审批；最后网关带上对应账户的凭证去访问第三方服务，把结果返回会话。需要临时 OAuth 授权时，网关给出登录链接，用户授权后再继续原来的调用。
这道边界减少了模型直接泄露令牌的机会，但合法凭证照样可能被用错。如果某项写入、删除或转账操作被宽泛地设成 allow，Agent 不用再问人就能执行。DigitalOcean 的文档也提醒，宽泛的默认放行可能在没有提示的情况下授权账户变更、写入和删除；权限策略也不会缩小服务商凭证本身的授权范围。要让 ask 停下来等人，客户端必须支持 MCP elicitation（MCP 协议里由服务端向用户发起确认的机制），否则就要走单独的审批接口。
数据流向也要单独评估。运行时会处理源代码、仓库内容、提示词、工作区文件和会话历史；网关会处理工具输入、返回结果和连接账户的凭证。DigitalOcean 表示不用客户内容训练 AI 模型，但数据一旦发给第三方模型或工具，就适用第三方的条款。公测条款还禁止提交受 HIPAA 保护的健康信息和受 PCI-DSS 约束的支付数据。凭证隔离只解决其中一类风险，整条工作流是否合规要另行评估。
官方示例：一小时 0.060 美元
CPU 按实际消耗的 vCPU 秒计费，每 vCPU 小时 0.044 美元；内存按分配量随时间计费，每 GB 小时 0.0095 美元。官方博客的示例是：一个会话配置 2 个 vCPU，一小时内平均 CPU 利用率 25%，实测内存峰值 4 GB，CPU 和内存合计 0.060 美元；同样配置满负荷跑一小时是 0.126 美元。
Agent 在等模型或等审批、CPU 确实闲着时，CPU 费用为零；主动暂停后，CPU 和内存都停止计费。工作区卷、快照和检查点仍按容量收费（每 GiB 每月 0.05 美元），模型推理、Action Gateway 里的部分工具和出网流量另外计费。所以闲置会话的账单不会归零，也不能据此推出总成本一定比容器或虚拟机低。
省多少钱取决于任务形态。大部分时间在等待、偶尔短时编译的 Agent 更划算；持续跑测试、处理视频或做数据分析的任务，CPU 利用率接近满载，差价就小了。团队应当按任务记录 CPU、内存峰值、快照容量、模型 token 和工具调用次数，不要只看会话数量。定价页还提醒，账户余额是预付的，没有单会话或单产品的消费上限，失控循环的 Agent 调用付费工具时可能很快把余额用完。
公测阶段没有服务承诺
DigitalOcean 公布的内部测试称，Harness Runtime 从恢复到就绪约 305 毫秒，恢复后 Agent 给出回复约 2.43 秒。这组测试中各平台使用的 Agent CLI 版本不同，对照平台 Fly.io Sprites 报告的资源规格也和申请的不一样。DigitalOcean 自己也测出，在已运行的会话里执行一条命令的往返时间是 189 毫秒，比 Sprites 慢 110 毫秒。这些数字说明它在优化暂停后的等待时间，说明不了整个平台更快。
公测条款写明：服务按“现状”和“可用状态”提供，没有 SLA，也没有可用性和性能保证；公测结束或实例删除时，执行状态、凭证和历史记录可能被永久销毁。条款还禁止客户未经 DigitalOcean 书面同意公开性能测试结果，所以短期内很难看到独立的第三方测评。
DigitalOcean 没有发明 microVM，别家云服务也能暂停 Agent。它做的是把隔离执行、会话状态、工具权限和按实际 CPU 计费放进同一个产品。中小团队可以少维护一套基础设施，代价是把执行状态、权限策略、计费和部分数据流都交给同一家云厂商。
从公测走到生产，要看四件事能不能测清楚：恢复后的进程和文件是否可靠一致；工具权限能否细到真实的业务动作；审批失败和超时能否追踪；暂停后的存储、推理和工具费用能否逐项对账。
