Claude Managed Agents 开放自托管沙盒与 MCP 加密通道，Anthropic 要把执行环境送进企业内网

Anthropic 于 19 日宣布 Claude Managed Agents 新增两项企业功能：自托管沙盒与 MCP 通道。前者让工具执行从 Anthropic 云端移至客户自有基础设施；后者提供 AI 代理连接全程端对端加密、无需对外开放防火墙端口。
（前情提要：Anthropic 推出 Claude Managed Agents：串接 AI 代理基础设施收租 $0.08/小时，大幅缩短开发时间）
（背景补充：Claude 是什么？费用、功能、Claude Code、Cowork 完整解析 — 2026 Anthropic 最详细指南）

本文目录

切换

• 沙盒向外走：四家合作伙伴各有侧重
• MCP 通道：解开企业 AI 落地最大的锁
• 为什么这比看起来更重要

Anthropic 于 19 日宣布 Claude Managed Agents 新增两项企业功能：自托管沙盒与 MCP 通道。这个选择与 OpenAI 和 Google 的主流企业策略形成对比。

后两者的企业方案，大多要求工具、资料、或执行环境进入厂商托管的云端；Anthropic 反向走“编排留我这边、执行送回客户机”的架构。

沙盒向外走：四家合作伙伴各有侧重

所谓“沙盒”，是 AI 代理执行工具时的隔离环境。想象一个每次任务结束就清空的虚拟工作台，防止代理的动作影响到外部系统或泄漏敏感资料。过去，这个工作台由 Anthropic 代管；现在，Anthropic 把它的控制权交还给企业。

架构上的切分很清楚：Anthropic 端继续负责代理循环（agent loop）：也就是编排、上下文管理、错误恢复这些“脑袋”工作，工具的实际执行则搬到客户自己的基础设施。

四家合作伙伴各自处理不同的企业需求：

Cloudflare 主打轻量化与零信任安全。其方案采用 microVM 搭配轻量 isolate（可理解为比容器更轻的执行单元），支持零信任凭证注入（secrets 不落地存储）、可审计与修改的出口流量，并能连接 Cloudflare 自家内网。

Daytona 的定位是“全功能可组合电脑”，强调长时间有状态执行：代理可以暂停（pause）再从原点恢复（restore），不会因为任务中断而丢失进度。支持 SSH 连接或预览 URL，适合需要人工审阅中间结果的工作流。

Modal 针对 AI 工作负载设计，沙盒与其现有的 functions、storage、networking 共用同一套基础设施，启动时间达到次秒级（sub-second），并宣称可扩展套件至数十万个并发沙盒。CPU 与 GPU 均支持按需计费，适合需要大规模并行推理或训练的场景。

Vercel 的方案强调隔离与资料不落地。沙盒采用 VM 级别安全隔离，搭配 VPC peering（虚拟私有云对等连接，让两个私有网络直接互通而不经公共网络）与“携带自己的云端”选项，启动时间达毫秒级。最关键的设计是：凭证由防火墙在网络边界注入，永远不会进入沙盒本身。

MCP 通道：解开企业 AI 落地最大的锁

MCP（Model Context Protocol，模型上下文协议）是 AI 代理连接外部工具与资料的标准接口。问题在于：企业最有价值的系统：内部数据库、私有 API、知识库、ticketing 系统，几乎都在防火墙后面，不对外开放。

这产生了一个矛盾：要让代理真正有用，它必须连到这些私有系统；但要连进去，企业就必须开放入站防火墙规则或设置公开端点，这对安全团队是不可接受的。

MCP 隧道直接解开这个锁。企业在私有网络内部署一个轻量 gateway（网关），它只建立一条单一的出站连接，从内部往外连接，而非等待外部入站。这意味着：无需任何入站防火墙规则、无公开端点、流量全程端对端加密。

对安全部门来说，这个架构类似 VPN 反向代理的概念：连接由内部发起，外部无法主动触及内部系统。代理通过这条隧道访问私有 MCP 服务器，等同于在合规框架内取得了连接内部系统的能力。

MCP 隧道同时支持 Managed Agents 和 Messages API，由组织 admin 从 Claude Console 的 workspace settings 集中管理，不需要每个开发者单独配置。

为什么这比看起来更重要

回到今年 4 月。Anthropic 在 4 月 8 日首次推出 Managed Agents，定价约 $0.08 美元 / 小时，定位是“帮企业省去自建代理基础设施的时间与成本”。当时外界的解读多集中在定价模式：按小时收费的代理租用服务。

这次更新揭示的是更深一层的战略意图：Anthropic 要争夺的不只是“谁在用 Claude”，而是“企业 AI 基础设施的架构主导权”。

自托管沙盒让那些有严格资料主权要求的企业：金融、医疗、政府，有了可尝试的选项。MCP 隧道则解决了 AI 代理在企业环境中最常被卡住的问题：如何连接那些“永远不会对外开放”的内部系统。

算力可以外包，资料不能。Anthropic 选择让资料留在原地，并把代理的大脑送进去。