Anthropic 升级 Claude 托管智能体：支持自托管沙箱与内网 MCP 隧道

很多大公司对 AI 智能体又爱又恨。想用它干重活，但让它执行代码、读写核心仓库，安全团队第一个跳出来反对：文件传到谁家服务器上了，内网接口是不是要开个口子暴露到公网？

在伦敦举办的 Code w/ Claude 大会上，Anthropic 正式拿出了拆解方案。针对平台上的 Claude Managed Agents，官方上线了两项直击企业安全痛点的核心能力：自托管沙箱和 MCP 隧道。

Claude Code 负责人 Boris Cherny 在开场演讲里打了个比方。他回忆中学时用 TI-83 计算器写程序解题、自学 HTML 倒腾宝可梦卡牌，那时候写代码有一种纯粹的魔力。后来编程被编译器、类型检查器和各种构建系统塞满，想法到运行的距离越来越远，而现在的智能体正在让这种即时感回归，就像一台能写分布式系统的超级计算器。

不过，要让这台计算器放心进入大公司干活，必须先把安全边界划清楚。

代码留在自家院子里

第一项功能是进入公测阶段的自托管沙箱。

以前用云端托管智能体，工具执行往往发生在模型厂商的环境里。现在 Anthropic 把整个链路拆成了两半：负责任务调度、上下文管理和错误恢复的 Agent 编排循环，依然跑在 Anthropic 的云端，但真正执行具体工具和运行代码的沙箱环境，完全移到了企业自己的地盘。

企业可以把沙箱跑在自建的基础设施上，也可以接 Cloudflare、Daytona、Modal 或 Vercel 这类托管计算平台。这意味着核心代码和文件根本不需要离开企业的安全防线，审计日志、网络策略全走企业现有的合规流程，要做高负载计算还能自己挑运行时镜像和算力大小。

目前 Amplitude、Clay 和 Rogo 等团队已经在基于这项能力搭建系统，现场还展示了 Spotify、Base44 和 Legora 的应用案例。

给私有接口打一条单向暗道

另一项处于研究预览阶段的能力叫 MCP 隧道。

很多团队内部都有基于 MCP 协议搭建的专有数据服务或内部工具，如果直接开放给云端智能体调用，通常需要配置复杂的公网访问规则或反向代理，安全风险很大。

MCP 隧道在内网部署一个轻量级网关，采用纯出站连接的方式连通外部。内网防火墙不需要开任何入站端口，内部服务不需要对外暴露公网 IP，所有通信全程端到端加密。

这项功能同时支持 Claude Managed Agents 和底层的 Messages API，企业的管理员可以直接在 Claude 控制台里统一管理隧道权限。

为什么重要

把智能体的「大脑」留在云端，把「手脚」放回客户内网，这一步走得相当聪明。

对企业开发者来说，以前上智能体最大的阻力从来不是模型聪不聪明，而是法务和安全部门过不了审。自托管沙箱让代码不落地到第三方服务器，MCP 隧道又省掉了折腾 VPN 或公网网关的麻烦，现在如果想把内部核心系统接给 Claude，落地的门槛和心理负担一下子小了很多。

从行业竞争来看，Anthropic 这次显然是在跟 OpenAI 的企业级方案抢进度。智能体竞争打到下半场，拼的已经不是单纯的基准跑分，而是谁能在企业现有的安全基建里无缝嵌进去。拉上 Cloudflare、Modal 这些基建伙伴，也让它的生态落地速度比单打独斗更快。

不过，这种架构也不是完全没有隐患。由于控制大脑在云端、执行端在本地，网络延迟和两端状态同步的处理非常考验稳定性。如果网络抖动导致上下文丢失或工具超时，复杂的长链条任务依然容易卡壳。我们认为，如果你的团队一直因为数据出境合规卡壳，现在很值得申请内测把沙箱跑起来试一把；但若是普通小团队，直接用全托管环境依然省心得多。