Anthropic 升级 Claude 托管智能体：代码执行放自家沙箱，内网直连 MCP

很多企业不敢让 AI 智能体干重活，原因很简单：把核心代码和内部数据库直接挂到云端大模型上，安全部门第一关就过不去。

Anthropic 显然看懂了这个痛点。5 月 19 日，Anthropic 为 Claude Managed Agents 推出两项新功能：自托管沙盒（Self-hosted Sandboxes）和 MCP 隧道（MCP Tunnels）。

简单来说，这次更新把智能体的工作切成了两半。Claude 依然负责最擅长的大脑工作，也就是任务编排、上下文管理和报错重试，但执行具体代码和调取工具的沙盒，搬回了企业自己的地盘。

脑子在云端，手脚留在家里

自托管沙盒目前已经开启公测。企业可以把工具执行环境部署在自己的私有基础设施上，也可以接入 Cloudflare、Daytona、Modal 或 Vercel 这类托管计算平台。

这意味着代码执行、敏感文件、内部依赖包和业务数据完全不出企业内网。所有的网络策略、审计日志和安全监控依然生效，不会因为接入了大模型而出现监管盲区。

计算资源的控制权也交还给了开发者。长耗时的编译或者高负载的图像生成，需要多少 CPU、内存甚至 GPU 算力，都可以自己在本地镜像里设定。

几家合作平台的玩法各有侧重。Cloudflare 靠微虚拟机和轻量隔离环境做无信任凭据注入，设计工具 Amplitude 两天就搭出了内部设计智能体。Daytona 提供长运行且保留状态的环境，支持通过 SSH 或认证链接实时调试，甚至能随停随走，销售自动化工具 Clay 拿它来构建自主运行的工作流。

Modal 主打高并发与 GPU 按需调度，容器启动不到一秒。Vercel 则在网络边界防火墙注入凭据，金融 AI 平台 Rogo 正在用这套方案处理机密金融数据。

穿透内网的单向通道

另一项功能 MCP 隧道目前处于研究预览阶段，需要申请权限。它让 Claude 能直接访问企业内网的模型上下文协议（MCP）服务器，调取内部数据库、私有 API、内部知识库或工单系统。

传统上连接内网通常要开公网端口或配复杂的反向代理，安全风险极高。MCP 隧道的做法是让企业在内网部署一个轻量级网关，网关只对外发起单向出站连接，完全不需要配置入站防火墙规则，所有流量端到端加密。

管理员可以在 Claude 控制台的工作区设置里统一管理这些隧道，该功能同时支持 Managed Agents 和 Messages API。

为什么重要

我们认为，Anthropic 这次打中了企业级智能体落地最卡脖子的地方。

对开发者和企业架构师来说，之前想做严肃的企业级智能体，往往要在两条难走的路上二选一：要么自己从零造轮子，处理极其繁琐的 Agent 状态机、重试逻辑和长上下文；要么使用云厂商全托管方案，却不得不把敏感数据和内网权限拱手交出。现在这种把编排控制面留在 Anthropic、把执行数据面放回本地的架构，基本扫清了合规和安全顾虑。

如果你所在团队正想让 Claude 处理内部代码库或企业 ERP 数据，现在就很值得用公测沙盒搭一个最小可行版本试跑。门槛在于你依然需要自己维护或采买沙盒运行环境，计费和运维也是双份的，但比起泄露核心资产的风险，这个代价企业完全承受得起。

从行业竞争来看，Anthropic 没有选择自己去硬啃底层基础设施，而是拉来 Cloudflare、Modal、Vercel 这帮云原生玩家组局，做法非常聪明。它把计算开销和脏活累活分流给专业基建厂商，自己专注于巩固模型编排和 MCP 生态的标准地位。这相当于逼着其他想做企业智能体的大模型厂商也必须跟进解耦架构，只靠纯黑盒全托管的套件，接下来很难说服大型企业买单了。