自托管 Claude Managed Agents：把 Claude 的智能体 Harness 跑在你自己的云上（私测指南）

这次公告是 @ClaudeDevs 发的两条串帖，所以先放这两条。第二条包含对规划最重要的两个事实：谁能用，以及怎么申请。

简短回答

自托管 Claude Managed Agents 让你把 Anthropic 的 Managed Agents 服务运行在自己的基础设施上，而不是使用 Anthropic 托管的版本。它于 2026 年 11 月 12 日进入私测，只向符合条件、并向 Anthropic 客户团队申请的组织开放。你运营 Managed Agents 服务器、它的 PostgreSQL 数据库，以及运行每个智能体 shell 和文件工具的 worker。会话历史存放在你的数据库里。模型调用按你的配置发往 Anthropic、Amazon Bedrock、Google 的 Agent Platform、Microsoft Foundry 或你自己的网关。

• 你得到什么：与托管版相同的核心 API，控制平面、凭据和历史都在你的边界之内。
• 你要承担什么：运行、加固和打补丁服务器、数据库和你的沙箱，并自己安装每个版本。
• 仍在外部的部分：Claude。每次模型调用都会把到目前为止的对话（包括工具输入和结果）发给你的推理提供方。
• 未公布：定价、正式发布日期、资格标准，以及文档列出之外的系统要求。相关处我们都会明说。

本文是对 Anthropic 公告和文档的解读，不是动手测试。服务器下载需要通过客户团队获取，所以我们没有运行它。下面每条说法都标明了来源。想了解运行智能体代码的更多选择，可以看我们的最佳 AI 智能体沙箱指南和AI 智能体托管平台横评。

视频：Run Claude Managed Agents on Cloudflare: Everything You Need to Know，来自 Cloudflare Developers 频道。它是 Managed Agents 搭配第三方沙箱提供方的背景介绍，不是自托管服务器的演示，我们只核实了它的标题和频道。截至 2026 年 11 月 12 日，我们没有找到 Anthropic 官方发布的自托管私测视频。

Anthropic 宣布了什么

主要来源是 Anthropic 的文章 Operate Claude Managed Agents inside your security perimeter。文章把自托管描述为运行 Managed Agents 的一种新方式。Managed Agents 是一套用于构建和部署自主智能体的可组合 API，提供把长时间运行的智能体投入生产所需的智能体 harness、沙箱、凭据处理和会话历史。

按 Anthropic 的说法，历程分两步。Managed Agents 最初作为托管服务在 Claude Platform 上发布，基础设施由 Anthropic 运行。对需要代码留在自己环境里的团队，Anthropic 随后增加了自托管沙箱。这次的新一步把其余部分也搬了过来：harness、凭据和会话历史。Anthropic 的论点是，智能体现在承担修复失败的构建、测试发布、分诊告警、处理 bug 积压这类工作，在你的代码上无人值守运行，并且需要访问内部系统。对拥有这种权限的智能体，一些团队希望整个服务都在自己的环境里，而此前这意味着要自己搭平台。

同一天来自 Help Net Security 的独立报道复述了同样的事实，并给出一条有用的提醒，我们在安全部分会回到它：Anthropic 描述的凭据保护仅限于 MCP 工具和受支持的 API 调用，所以智能体接触的任何其他服务，在上线前都值得检查。Claude 文档补充了运行细节，包括组件名称、三种凭据、监听端口，以及与托管版差异的完整清单。

Managed Agents 是什么，以及它如何走到这一步

Claude Managed Agents 把 Claude 作为自主智能体运行。按文档的核心概念，你定义一个智能体（agent），选择一个环境（environment），启动一个会话（session），并在智能体工作期间与它交换事件（events）。harness 就是调用 Claude 的智能体循环。沙箱是智能体 bash 和文件工具运行的地方。vault 保存凭据，memory store 让智能体跨会话记笔记。你可以通过 SDK、ant CLI 或 REST API 使用这一切。如果你已经在用这个 CLI，我们的 Claude API 与 ant CLI 指南介绍了基础用法。

五月这一步对理解这次发布很重要。当时智能体循环仍留在 Anthropic 的基础设施上，只有工具执行搬到你的环境，New in Claude Managed Agents 一文明确画出了这条线。The Decoder 当时总结了限制：完全本地部署做不到。十一月的发布对 Anthropic 接纳进私测的组织取消了这个限制。至于托管版的定价背景，Anthropic 的发布文章说 Managed Agents 按用量计费，标准 Claude Platform token 费率外加每会话小时 $0.08 的活跃运行费。自托管服务器没有对应的数字。

运行 Managed Agents 的三种方式

文档把选择浓缩成一张表，每个选项的名字说明了由你托管什么。

这张表背后有两个细节。第一，按自托管沙箱文档，在中间那个选项里，工具输入和输出仍会流向 Anthropic 一侧的 Managed Agents，模型才能看到结果。第二，文档说只有在需要以下两件事之一时才选自托管 Managed Agents：把智能体、会话和历史存放在你自己的基础设施上，或把模型调用路由到 Amazon Bedrock、Claude Models on Google Cloud（Google managed）、Microsoft Foundry 或你自己的网关。如果你只需要工具在你的基础设施上运行，文档会把你引回自托管沙箱。

架构：服务器、数据库和 worker

文档把一次部署描述为一台或多台服务器、它们的数据库和你的沙箱，全部在你的网络里，只有一条出站箭头通向推理提供方。下面按文档里的名字列出各个部分。

这就是“大脑与双手分离”的具体形态。服务器是大脑：它保存对话并调用模型。worker 是双手：它们向服务器轮询任务，在本地运行每个工具调用并把结果送回。即使没有 worker 在轮询，会话的模型回合也能运行，此时第一次工具调用会不报错地一直等到有 worker 接手，会话看起来卡住时要记得这一点。

隔离是你的责任，文档对此毫不含糊。智能体的 bash 工具是一个真实的 shell，拥有 worker 进程的权限和网络访问，worker 本身并不隔离它。隔离来自 worker 运行所在的环境。Docker Compose 方案和 cma-sandboxes Helm chart 会为每个会话的 worker 启动单独的容器或 pod，文档还说，如果你自己启动 worker，应把它放在一个一次性的容器或虚拟机里，里面不要放任何你需要保护的东西。另有一个单独的 Helm chart 用于在 Kubernetes 上部署服务器。关于沙箱层本身，我们的沙箱对比列出了发布 worker 指南的提供方，Claude 文档把 AWS Lambda MicroVMs、Blaxel、Cloudflare、Daytona、E2B、Fly.io、GKE Agent Sandbox、Modal、Namespace、Superserve 和 Vercel 列为自托管沙箱的平台指南。

三种凭据

自托管部署要同时处理三种互相独立的凭据，文档有意把它们分开。服务器 API 密钥由你的应用、ant CLI 和管理 CLI 持有，作用相当于托管版里的 Claude API 密钥。推理凭据只由服务器持有，用于认证它的模型调用，可以是 Claude API 密钥、你的云提供方凭据，或你的网关接受的令牌。环境密钥由轮询某个环境队列和会话的 worker 持有。应用和 worker 都不需要推理凭据。

模型路由与什么会离开你的网络

Anthropic 的公告列出了模型请求的去向：直接发给 Anthropic、你的云提供方（Amazon Bedrock、Google 的 Agent Platform 或 Microsoft Foundry），或你自己的网关。在文档里，服务器的 inference.provider 设置决定路由，差异页给出的值是 anthropic、vertex、foundry 和 gateway。选哪个提供方会改变哪些功能可用，所以这是设计决策，不是脚注。

如果你通过云提供方路由，要查该提供方自己的文档，看哪些模型和区域支持某项功能。Claude 文档说，自定义工具、MCP 工具和你的 worker 运行的工具在所有提供方下行为一致。对已经在模型流量前放了代理的团队，gateway 选项就是接入点，而我们的 LLM API 网关和 AI 推理提供方横评涵盖了连接另一端的选项。

服务器会连接哪些地方

每次模型调用，服务器都会把到目前为止的对话（包括工具输入和工具结果）发给你的推理提供方。默认就是 Claude API，对它的调用还会带上所属会话、智能体和环境的 ID。数据与访问页列出了服务器联系的每个目的地：你的推理提供方、它的数据库、任何签发其模型凭据的服务、你若使用云提供方则包括其模型列表服务、你允许的 MCP 服务器和 Git 主机、一个 OpenTelemetry 采集器、单点登录身份提供方，以及你若配置了则包括密钥管理器或密钥管理服务。只有提供方是 Claude API 时，服务器才会连接 Anthropic，文档还明确说 Anthropic 对服务器及其日志没有远程访问权限。

安全评审之前有一项披露要知道。发往 Claude API 的每个请求都带有一个 User-Agent 头，写明服务器软件及版本，模型调用还可能在 metadata.user_id 里带标签 cma-server。文档说该标签在每台服务器上都一样，不会标识你的部署、用户或会话，Anthropic 可以用这些字段统计自托管 Managed Agents 的使用量。发往 Claude API、Microsoft Foundry，以及接受与 Claude API 相同请求的网关的调用会带这个标签；发往 Amazon Bedrock、Claude Models on Google Cloud（Google managed），以及采用其他请求格式的网关的调用则从不带。

关于数据留存，Anthropic 说如果你的组织与 Anthropic 签有零数据留存，它对发往 Claude 的请求的适用方式与任何其他 Messages API 调用相同。你的数据库是另一回事：会话和历史会一直留在那里直到你删除，服务器不会因为会话存续时间长而删除它。通过 API 删除会移除会话及其历史，但不会清除备份、导出的日志和追踪，或智能体写入 memory store 的内容中的副本。

四条安全原则的实际含义

Anthropic 的理由很直接：智能体在你的代码和系统里无人值守运行时，你不能指望有人检查每一步，所以限制必须内建在系统里。它列出了四条原则，并说无论是 Anthropic 托管全部、你只托管沙箱，还是你托管整个服务，这些原则都适用。下面是当你自己做运维时，每一条的含义。

1. 大脑与双手分离

harness 调用 Claude，沙箱是智能体代码运行的地方。智能体循环、会话历史和 vault 密钥留在沙箱之外，沙箱只在工具需要时才启动，历史以事件日志的形式保存在沙箱之外。实际含义是：沙箱在任务中途挂掉不会杀死会话，被攻破的工具执行也读不到会话存储或 vault，因为它们不在沙箱里。这也意味着你的隔离工作要放在 worker 环境上，如前文所述，而不是服务器上。

2. 凭据留在沙箱之外

vault 的设计目的就是让凭据留在沙箱之外。对 MCP 工具和受支持的 API 调用，由沙箱外的代理把凭据加到请求上，在自托管部署里你还可以把凭据存进自己的密钥管理器。文档给出了具体情形：如果你配置了密钥管理器，服务器会把每个新 vault 凭据的密钥存进去，而不是存在自己的数据库里。对 Git 来说，你的客户端发送的令牌永远不会到达沙箱，因为 Git 流量经过你的服务器，由它加上令牌。服务器还可以签发一个短期的智能体身份令牌，随智能体对 MCP 服务器的调用一起发送，MCP 服务器用你发布的公钥校验它。要记住的限制就是 Help Net Security 指出的那一点：这种保护只覆盖 MCP 工具和受支持的 API 调用，所以沙箱内某个 CLI 需要密钥是另一个问题。文档为 environment_variable vault 凭据提供了可选的出口网关，而在你打开网关之前，服务器会拒绝这类凭据。

3. 网络访问可以被限制

你可以把每个环境限制在一份允许主机列表内，对其他任何主机的请求都会被拦截。Anthropic 自己的例子是修复失败构建的智能体，列表可能只有你的 git 主机和包注册表。自己托管沙箱时，你在自己的防火墙里设置同样的限制，这让允许列表成为你必须配对的配置。对那个修构建的智能体，一个实际的版本是：允许通过 HTTPS 访问 Git 主机，允许包注册表，拒绝其余一切，并指明智能体可以推送的分支。服务器自己对 MCP 主机和 Git 主机也有允许列表，下一节会讲。

4. 每个会话都留下完整记录

Managed Agents 会记录智能体的每一步，包括工具调用和返回内容，这份记录通过 OpenTelemetry 导出，你可以把智能体活动和系统里的其他内容放在一起查看。在你自己的服务器上，细节很具体。服务器把日志写到标准错误，在你用标准 OpenTelemetry 环境变量打开之前不记录追踪或指标，并且只发送到这些变量指向的地方。Prometheus 端点可以暴露指标，它不要求任何凭据，所以谁能访问取决于它监听在哪里。Anthropic 的 OpenTelemetry 文档补充说，Python、TypeScript 和 Go SDK 中的环境 worker 会为它运行的每个工具生成一个 span，并按每个工作项归入一个 anthropic.environment.work span。如果你已有追踪体系，我们的 LLM 可观测与评测工具指南对比了你可以把数据送去的后端。

作为运维方你要负责什么

文档说自托管沙箱的安全模型在这里同样适用，只有一处变化：那一页分配给 Anthropic 的事项在这里归你，包括保护服务器、托管 memory store 和发现异常使用。Anthropic 无法得知某个密钥泄露，无法验证你的 worker 镜像，也无法在会话内容到达你的 worker 之后执行数据留存。每个信任级别还需要单独的部署，而沙箱方案里建议的是每个信任边界一个独立的工作区和环境。实用的清单很短：每个版本都打补丁，把环境密钥放进密钥管理器，一有怀疑就轮换，以最小权限运行 worker，并限制出站流量。

必须设置的允许列表

若干功能默认是关闭的，或在你编辑服务器设置文件之前拒绝所有主机。这是合理的默认值，也是第一天容易出意外的地方。

# 服务器设置文件：名称取自文档的差异页
mcp:
  allowed_hostnames:
    - mcp.example.com        # 精确匹配，不支持通配符，默认为空
git:
  allowed_hostnames:
    - github.com             # 仅限 HTTPS
  allowed_push_refs:
    - refs/heads/agent/      # 智能体只能推送到你列出的分支
web_tools:
  enabled: true              # web_search 和 web_fetch 默认关闭

• MCP 服务器：服务器只连接 mcp.allowed_hostnames 下的主机。匹配是精确的，不支持通配符，列表默认为空。你私有网络内的 MCP 服务器不需要 MCP tunnel：把它的 HTTPS URL 写进智能体定义，并把它的主机加入列表即可。
• Git 主机：在列出主机之前，github_repository 资源会被拒绝。智能体只能推送到匹配 allowed_push_refs 的分支。文档警告服务器不会拒绝强制推送，如需这个保护，要在你的 Git 主机上保护分支；还说智能体不会被告知分支列表，所以要在提示词里写明分支。
• 网络工具：web_search 和 web_fetch 默认关闭，工具关闭时，列出它们的智能体会在没有它们的情况下运行，也没有任何错误提示。
• MCP 结果：超过 mcp.max_result_bytes（默认 100 KiB）的结果会被截断，模型会被告知，其余部分丢失。

如果你的智能体依赖私有工具，我们的 MCP 集成平台横评和Claude Code 最佳 MCP 服务器（英文）清单是找可放进该允许列表的服务器的好去处。

第一次运行是什么样

文档包含一个 Docker Compose 快速入门。它会启动服务器、它的 PostgreSQL 数据库，以及一组让每个会话在各自沙箱容器里运行的 worker，然后让你在终端里与智能体对话，并确认工具调用确实在沙箱里运行。Anthropic 把这套方案标为仅限开发：它提供明文 HTTP，并在宿主机的回环地址上发布 8400 端口。在 28.3.3 之前的某些 Docker Engine 版本下，局域网内的机器也能访问该端口，所以文档说要使用一台不存放任何你需要保护内容的机器。你需要从客户团队拿到发布包，并把 Claude API 密钥写进这套方案的 .env 文件，文档还要求你为 ant CLI 设置 ANTHROPIC_BASE_URL 和 ANTHROPIC_API_KEY，让它连接你的服务器而不是托管服务。

# 文档快速入门（仅限开发）：用发布包启动整套服务
docker compose up --build -d
docker compose logs -f cma-server

# 等到出现 msg="cma-server listening"，再检查就绪状态
curl -s http://127.0.0.1:8400/cma-server/readyz
# 就绪的服务器会返回 "status":"ready"

# 针对这套服务的环境启动会话，然后在终端里对话
AGENT_ID=$(ant beta:agents list --format raw \
  --transform 'data.#(name=="Quickstart agent").id' --raw-output)
ENVIRONMENT_ID=$(ant beta:environments list --format raw \
  --transform 'data.#(name=="compose-sandbox").id' --raw-output)
SESSION_ID=$(ant beta:sessions create --agent "$AGENT_ID" \
  --environment-id "$ENVIRONMENT_ID" --transform id --raw-output)
ant beta:sessions connect "$SESSION_ID"

自托管服务器上的环境始终是 self_hosted。请求云环境会返回 400 错误，所以每个环境都需要你部署 worker。环境定义与沙箱文档使用的相同：

# yaml-language-server: $schema=https://platform.claude.com/schemas/ant/beta/environment.json
name: self-hosted
config:
  type: self_hosted          # 自托管服务器只接受这一种环境类型

每个发布包还附带该版本的运维指南 operator-guide.md。文档建议让 Claude 读它，这样 Claude 可以帮你配置和运行服务器。生产环境方面，文档指向 Kubernetes 上的服务器 Helm chart 和 cma-sandboxes chart，但在我们读到的页面里没有找到它们的 values 说明，所以请准备好阅读你所拿版本里的那份指南。

与托管版的差异

除差异页所列之外，API 与托管服务一致，Anthropic 说在迁移应用之前要先检查。把下面的清单当作迁移检查表。托管服务里的任何内容都不会被复制，所以智能体、skills、vault 凭据和 memory store 都要在你的服务器上重新创建。

其中两项值得注意。第一，失去定时部署和 webhook 意味着无人值守的触发，比如夜间扫一遍 bug 积压或告警处理，变成你的调度器的工作。第二，Messages API 不提供，所以同时混用直接模型调用和 Managed Agents 调用的应用需要两个客户端。如果你已经在运行自托管沙箱，文档说 worker 软件相同，你的 worker 可以连接到你的服务器，但由 webhook 启动的 worker 在这里不起作用。

使用场景

Anthropic 自己的例子是修复失败的构建、测试发布、分诊告警和处理 bug 积压。第二条 @ClaudeDevs 帖子把目标定位为需要访问你的代码和内部系统的工作。下面是这些场景在文档所述控制措施下的样子。它们是我们对文档中各部件如何组合的说明，不是 Anthropic 发布的参考设计。

对较轻的需求，自托管是个重选项。如果你只想要一个自己控制的沙箱，自托管沙箱的运维成本更低；如果你想在服务器上放一个常驻的个人智能体，我们的 AI 智能体 VPS 指南里更轻的路径可能比运行完整的 Managed Agents 服务器更合适。

资格与申请方式

所有来源给出的路径都一样：联系你的 Anthropic 客户团队。那条推文说私测只向符合条件的组织开放，文档补充说下载的访问申请要通过客户团队。我们没有找到公开的申请表、候补名单、公布的资格标准、支持的区域或 SLA。如果你还没有客户团队，公告没有给出其他途径。在沟通之前，先想清楚四个问题会有帮助：

• 服务器、PostgreSQL 16 或更高版本以及 worker 将运行在哪里（文档记录的路径是 Kubernetes 或 Docker Compose）。
• 你想用哪个推理提供方：直接用 Anthropic、Bedrock、Google、Foundry 还是网关，以及你需要哪些取决于这个选择的功能。
• 你今天用了哪些仅限托管版的功能，对照上面的差异清单。
• 你的身份提供方，因为单点登录使用 OpenID Connect，以及你若想用的话，你的密钥管理器。

对比自建 harness 与使用 Agent SDK

Anthropic 给出的产品理由是：此前，想把整套服务放进自己环境的团队只能自己搭平台。文档中的对比比完整的自建与购买分析要窄，我们没有找到公开的成本、基准或可靠性对比，所以请把下表当作各选项是什么的地图，而不是排名。

Agent SDK 这一行来自 Anthropic 的 Agent SDK 概览，它按谁运行智能体、你如何访问来区分 SDK、CLI、客户端 SDK 和 Managed Agents。对运维方而言，实际的区别在于 API 的形状。Managed Agents 在服务背后给你智能体、环境、会话和事件，而自托管服务器就是运行在你账号里的那个服务。如果你在权衡用开放框架来写循环，我们的 AI 智能体框架横评涵盖了以代码为主的替代方案。诚实的未知在于比较：Anthropic 没有公布实际运营一台服务器要花你多少成本，也没有公布它与你自建的 harness 相比表现如何。

未解问题：尚未公布的内容

另外两项属于风险清单，而不是待办清单。私测标签意味着行为和差异清单可能会变，而自托管沙箱页面的数据处理表把 Managed Agents 列为不符合 HIPAA，并且不符合 ZDR，自托管 Managed Agents 除外。任何合规声明都请就你的具体配置以书面形式向 Anthropic 确认。

结论

这是给一类特定买家的真实答案：希望自主智能体处理其代码和内部系统，并且需要控制平面、凭据和历史都在自己边界内的组织。Anthropic 给这类买家的是与托管版相同的 API、模型路由的选择权，以及有文档的安全模型。作为交换，你要运行服务器、数据库和一队沙箱，并放弃若干托管版功能。

实际的计划很简单。如果你只需要在自己的基础设施上执行工具，继续用自托管沙箱。如果你的要求是存储和模型路由由你掌控，就向客户团队询问私测，列出你依赖的仅限托管版的功能，并在承诺之前对照差异页逐项测试。在 Anthropic 公布定价和 GA 日期之前，这是一个试点决策，而不是平台迁移。

常见问题

来源

来源核对于 2026 年 11 月 12 日。

• Operate Claude Managed Agents inside your security perimeter：Claude / Anthropic，2026 年 11 月 12 日（公告、四条原则、模型路由、ZDR）
• Self-hosted Claude Managed Agents、Differences from the hosted service、快速入门和 Data and access：Claude 文档（组件、凭据、设置、差异、监听端口、留存）
• Self-hosted sandboxes 及其安全模型：Claude 文档（worker 如何运行、责任共担、可用性和数据处理）
• OpenTelemetry tracing for the Claude API：Claude 文档（追踪、环境 worker span）
• Agent SDK overview：Claude 文档
• Claude Managed Agents 发布文章和 New in Claude Managed Agents：Claude / Anthropic（托管版定价、自托管沙箱和 MCP tunnels）
• The New Stack，2026 年 5 月 19 日：四月和五月发布的日期
• Help Net Security，2026 年 11 月 12 日：对公告的独立报道
• X 帖子：@ClaudeDevs 和 @ClaudeDevs 回复，2026 年 11 月 12 日
• YouTube：Run Claude Managed Agents on Cloudflare: Everything You Need to Know，Cloudflare Developers