Anthropic、Claude Managed Agentsを再設計：「頭脳」と「手」を分離

数時間にわたって自律動作するAIエージェントを本番運用しようとすると、最大の障壁になるのはプロンプトの調整ではなくバックエンドのインフラです。コンテナが落ちれば進行中のセッションは丸ごと消去され、AIが生成したコードが環境変数から認証情報を盗み出すリスクや、モデルの更新に合わせてオーケストレーションを作り直す手間に開発者は追われてきました。

Anthropicは、クラウド上でエージェントを大規模に構築・運用できる新サービス「Claude Managed Agents」のパブリックベータ版を発表しました。あわせてエンジニアリングブログを公開し、エージェントを構成する中核要素を完全に分離した新しいアーキテクチャを明らかにしています。

この設計変更により、最初のトークンが出力されるまでの待ち時間（TTFT）の中央値は約60%短縮され、p95レイテンシは90%以上削減されました。社内の構造化ファイル生成テストでは、従来のプロンプトループと比較してタスクの成功率が最大10ポイント向上したとしています。

「頭脳」と「両手」を完全に切り離す

初期の設計では、モデルを呼び出すループ（ハーネス）、コードを実行するサンドボックス、セッション履歴のすべてが1つのコンテナに詰め込まれていました。しかしこの構成はインフラの運用において「ペット」を育てるような状態を生み出し、コンテナが固まるとセッションそのものが消失し、ユーザーデータを含む領域であるためエンジニアが直接調査することも困難でした。

そこでAnthropicは、エージェントの要素を「ハーネス（頭脳）」「サンドボックス（両手）」「セッション（ログ記録）」という3つの独立したインターフェースに再構築しました。

サンドボックスはいつでも廃棄可能な「家畜」として扱われます。コンテナ内でコードを実行する際は通常のツール呼び出しとして処理され、もしサンドボックスがクラッシュしてもハーネスがエラーを受け取り、Claudeの判断で即座に新しいコンテナを立ち上げ直します。ハーネス自体が障害で落ちた場合でも、外側のログから履歴を読み込むことで直前の状態から処理を再開できます。

認証情報の保護とコンテキスト不安の解消

この分離はセキュリティ面でも大きな意味を持ちます。従来の構成では、プロンプトインジェクションによってClaude自身が環境変数を読み出し、トークンを不正取得する恐れがありました。新設計ではサンドボックスから認証情報が完全に遮断されています。Git連携では初期化時にリモート設定へ安全に紐付けられ、MCPツール連携ではOAuthトークンが外部の金庫で管理され、専用プロキシ経由で通信するためエージェント自身はキーに触れません。

また、長時間のタスクで発生しがちだった「コンテキストの上限に近づくと処理を途中で切り上げてしまう挙動（コンテキスト不安）」への対策も進化しました。履歴を不可逆的に要約して切り捨てるのではなく、外部のセッションログに必要な部分だけをスライスして問い合わせる仕組みを導入し、柔軟なメモリ管理を可能にしています。

すでにNotion、Asana、Rakuten、Sentryなどがこの基盤を採用しています。たとえばSentryでは、バグ検知エージェントとClaudeを連携させ、不具合の特定からプルリクエストの作成までを自動化する仕組みを数週間で本番導入したと報告されています。

なぜ重要か

私たちは、この発表が単なるAPIの追加にとどまらず、エージェント開発の標準的な実行基盤を定義しにいく動きだと考えています。エージェントのプロトタイプを作るのは簡単ですが、堅牢なサンドボックスや権限管理、耐久性のあるステート保持をゼロから自作するには数カ月規模のインフラ開発が必要です。そうした重労働をプラットフォーム側に肩代わりさせる価値は極めて高く、自律型ワークフローを開発しているチームなら今すぐ試す価値があります。

頭脳と両手を切り離したことで、将来的に賢いモデルが登場してオーケストレーションの前提が変わっても、基盤全体を壊さずに進化させられる設計の巧みさが光ります。一方で、セッション管理やセキュリティをAnthropicの環境に深く依存することになるため、プラットフォームへのロックインが進む懸念もあります。モデルを自由に切り替えたい企業にとっては、利便性と引き換えに運用上の選択肢が縛られる点が検討課題になりそうです。