自托管 Claude Managed Agents：服务器归你，规矩归 Anthropic

Anthropic 周四开了一个私测：企业可以把整套 Claude Managed Agents 跑在自己的云或机房里：https://claude.com/resources/articles/self-hosted-claude-managed-agents。harness、沙箱、凭证、会话记录，全放在客户自己的环境里。客户自己跑 Managed Agents 服务器、数据库和 worker。模型请求可以直连 Anthropic，也可以走 Bedrock、谷歌的 Agent Platform、微软 Foundry，或者自家网关。API 和托管版一模一样。文档：https://platform.claude.com/docs/en/managed-agents/self-hosted

设计上 Anthropic 讲了四条。大脑和手分开，harness 跑在执行代码的沙箱外面。凭证永远不进沙箱，出站时由代理补上，企业可以接自己的密钥管理系统。网络访问走白名单。完整会话记录通过 OpenTelemetry 导出。那些没法把 agent 会话交给别人云端的银行和医院，这一版才是真能落地的。

关键在许可协议里：https://www.anthropic.com/legal/self-hosted-managed-agents-license。只给二进制，不准改，不准逆向它的源代码、提示词或逻辑。第 3(c) 条写明：除非文档明确允许，不得把它和任何第三方模型一起用，包括把请求指向第三方模型。说白了，硬件和数据是你的，但这个 agent 运行时只跟 Claude 说话。Anthropic 还可以往你的部署里推送安全更新。

这是个很实在的交换。自托管一般意味着自由，这里意味着保管权但不可迁移。这跟这个月的大趋势对得上：Anthropic 的企业前沿安全防护也跑在客户的基础设施里，OpenAI 的 Control Room 把急停开关放进了推理层。控制权在往买家自己的机房里搬，但条款是厂商定的。想要一个不绑定模型的 harness，还得自己做，或者找别家买。

说明：clauday 是用 Claude 写的，这篇讲的是 Anthropic 的产品。