Claude Managed Agents: self-hosted sandboxes и MCP tunnels — что split-plane архитектура меняет для операторов

Главное ограничение для enterprise-внедрения AI — не качество модели, а требования к размещению данных. Когда AI agent читает внутренние файлы, вызывает приватные API или запускает код против чувствительных репозиториев, команда безопасности задаёт один вопрос: где физически происходит выполнение?

19 мая на конференции Code with Claude London Anthropic ответила на этот вопрос, переопределив границы Claude Managed Agents. Self-hosted sandboxes переносят tool execution в инфраструктуру клиента. MCP tunnels дают agent доступ к MCP server в приватной сети — без публичных endpoint. Вместе они реализуют split-plane архитектуру: оркестрация остаётся на стороне Anthropic, tool execution запускается там, где вы укажете.

Что изменилось

Self-hosted sandboxes (публичная бета) позволяют назначить собственный compute как цель выполнения для Claude Managed Agents. Файлы, репозитории и пакеты не покидают сеть клиента. Существующие средства контроля — сетевые политики, audit logging, EDR-инструменты — работают по умолчанию, потому что выполнение происходит в уже управляемой инфраструктуре.

Команды, которые не хотят самостоятельно поднимать compute, могут использовать интегрированных managed-провайдеров: Cloudflare Workers Sandbox, Daytona, Modal и Vercel Sandbox. Они выступают промежуточным доверенным слоем между оркестрационным уровнем Anthropic и изолированной средой выполнения.

MCP tunnels (research preview, доступ по заявке) решают проблему подключения к приватной сети. Лёгкий gateway-процесс открывает одно исходящее сквозное зашифрованное соединение из сети клиента к платформе Managed Agents. Никаких входящих правил firewall, публичных endpoint или реконфигурации VPN. Agent обращается к MCP server за корпоративным firewall — базам данных, системам тикетов, внутренним API — без требования сделать их публично доступными.

Почему это важно для AI-инженерных команд

Типичная проблема agentic pipeline: если оркестрационный движок обращается к внутренним инструментам, либо они должны стать публичными, либо нужна самописная прослойка. Оба варианта операционно неудобны.

Этот релиз разбивает выбор на два независимых решения:

1. Где работает agent loop? Ответ: на стороне Anthropic. Управление контекстом, обработка ошибок и шаги рассуждения остаются hosted — вы автоматически получаете обновления модели и оркестрации.

2. Где выполняются инструменты? Ответ: в вашем периметре или у доверенного managed-провайдера. Именно этого добивались compliance-команды — выполнение кода не выходит за границу, которую они аудируют.

Для команд, использующих Claude Code в enterprise-среде, self-hosted sandboxes сохраняют привычный рабочий процесс coding agent, при этом execution остаётся за корпоративным firewall. Для команд, строящих внутреннюю автоматизацию — чтение из приватных баз, запись в внутренние системы — MCP tunnels убирают необходимость открывать внутренние сервисы для hosted agent.

Router/operator-угол

Split-plane архитектура даёт gateway-операторам полезную ментальную модель: не вся активность agent одинаково чувствительна. Уровень рассуждений и оркестрации (какую модель, какой контекст, какой инструмент вызвать следующим) можно разместить в облаке. Уровень выполнения (файловый I/O, API-вызовы, запуск кода) — это то, где живут требования к data residency.

При маршрутизации через gateway вроде TheRouter это создаёт чёткое разделение:

• Роутинг модели и fallback работают на оркестрационном уровне — выбор provider, тиер модели, компромисс latency vs. стоимость — и не зависят от того, где выполняются инструменты.
• Логирование запросов и observability нужно проектировать с учётом split-plane. Запросы от оркестрации Anthropic к вашему sandbox видны в вашей сети; шаги рассуждений agent — в API-логах Anthropic. Полный audit trail требует корреляции обоих потоков.
• Compliance-аттестация упрощается: можно направить аудитора на audit-логи sandbox-среды, существующие EDR-инструменты и сетевые политики — без необходимости доказывать, что hosted-среда Anthropic соответствует вашим требованиям.

При выборе sandbox-провайдера gateway-импликация важна: интеграция с Cloudflare означает выполнение в Cloudflare Workers с observability Cloudflare; интеграция с Modal — в serverless-инфраструктуре Modal. Выбор провайдера выполнения — это отдельное routing-решение, независимое от выбора модели.

MCP tunnels сейчас находятся в research preview. Если вы строите внутренний инструментарий против приватных данных, стоит оценить этот подход сейчас — tunnel-паттерн исключает самый распространённый обходной вариант: давать AI-платформе сетевой доступ к внутренним сервисам, что обычно не проходит security review.

На что обратить внимание

Функции sandbox и tunnel работают на уровне платформы Claude, а не на уровне OpenAI-совместимого API. Команды, маршрутизирующие через TheRouter к API-endpoint Claude, используют базовый model API, а не Managed Agents — split-plane execution специфичен для первой стороны Anthropic.

Что этот релиз означает для routing-операторов:

• MCP как паттерн подключения взрослеет. Anthropic официально поддерживает MCP tunnels для приватного доступа. При разработке MCP-инструментария tunnel-подход для private MCP server заслуживает архитектурного внимания.
• В гибридных agent-деплойментах есть observability-пробелы. Команды, совмещающие hosted оркестрацию с self-hosted tool execution, должны спроектировать observability-стек для корреляции логов из обоих уровней. Логи на уровне gateway — лишь часть картины.
• Compliance-требования — это routing-сигнал. Если определённые запросы затрагивают чувствительные внутренние данные, маршрутизация к provider с поддержкой self-hosted execution может стать критерием выбора наряду с latency и стоимостью.

Доступ к MCP tunnels — через форму Claude Managed Agents. Документация по self-hosted sandboxes: platform.claude.com/docs/en/managed-agents/self-hosted-sandboxes.