Anthropic Managed Agents · 第三条路
当 harness 与 sandbox 解耦、agent 学会「做梦」——AI Agent 基础设施进入第三世代。
（Dreaming 内测）
宏观任务改进
specialist × 并发
managed-agents-2026
信源： Claude Managed Agents overview · The evolution of agentic surfaces · Dreaming / Outcomes / Multiagent · Self-hosted sandboxes & MCP tunnels · LangChain Deep Agents 对比
- 三层塔：Messages API（自写循环）→ Agent SDK（自托 harness）→ Managed Agents（全托管）。定位是第三条路，不是替代。
- 四件套：Agent（可复用人设）× Environment（容器模板）× Session（有状态实例）× Events（SSE 双通道）。Agent 与 Environment 一次定义、多次复用；Session 是唯一算钱的对象。
- Dreaming 是自进化的官方入场券：定时异步 Job 读 memory + ≤100 条会话 transcript，输出全新 memory 副本（不覆写、可回滚），做「合并去重 / 更新矛盾 / 挖掘跨会话模式」三件事。灵感来自 REM 睡眠。
- Outcomes = Reflexion 的产品化：独立 grader 用独立上下文窗口打分（防止 self-grading bias），agent 自我修正。宏观 +10 分，docx/pptx +8–10%。
- 架构分水岭：从 5 月开始，Agent Loop 与 Sandbox 解耦——Anthropic 云上跑 loop，用户侧（Cloudflare / Daytona / Modal / Vercel / 自建）跑 sandbox，内网 MCP 通过反向 tunnel 连接。
- 硬缺口：不支持 ZDR / HIPAA BAA（有状态）；对中国用户/企业实施全链路封锁（含 Claude Code 客户端隐蔽指纹标记）。合规与地缘是它的两个天花板。
一定位：Anthropic 三条路里的第三条#
— From tokens-in-tokens-out to a hosted runtime
2023 年 Anthropic 把 API 交给开发者时，契约极简：tokens in, tokens out。三年后，「让 Claude 把一个任务完整跑到结束」的诉求把这个契约撑不住了。Anthropic 的回应是把开发者接入面分成三层——Managed Agents 是最上面那一层。
Claude Managed AgentsHosted Harness × Hosted Sandbox
你只定义 Agent 和 Environment，然后发消息、订阅事件。Agent 循环、沙箱容器、工具执行、会话持久化、prompt 缓存与压缩全部托管。
≈ 95%
Claude Agent SDKSame Harness · You Host
开源 Python/TypeScript 库，把驱动 Claude Code 的同款 loop 嵌进你的应用。Harness 现成、hosting 与安全边界自建。
≈ 40%
Messages APIBring Your Own Loop
最底层。发送 prompt、拿 completion，agent 循环 / 工具 / 沙箱 / 状态 / 事件全部自写。适合对 harness 要有全定制权的场景。
≈ 5%
三层之间不是替代关系，而是「同一颗模型 × 不同抽象度」。Anthropic 官方博客点得很直白：Managed Agents 是让团队「几天而不是几个月」把 agent 送进生产的那条路。一句话背后的技术含义是——把「你原本不用写的六件事」从开发路径里拿走：agent 循环、沙箱、工具集、会话状态、事件流、prompt 缓存与压缩。
二四件套架构#
— Agent × Environment × Session × Events
整个服务只需要背四个概念。它们的关系是「模板 → 实例 → 事件流」：
| 概念 | 一句话 | 生命周期 |
|---|---|---|
| Agent | 可复用的「人设模板」= model + system prompt + tools + MCP servers + skills，有版本号，通过 ID 引用。 |
一次创建 多次复用 |
| Environment | 容器模板 = 预装包（Python / Node / Go 等）+ 网络策略 + 挂载文件 + runtime 镜像。 | 一次创建 多次复用 |
| Session | 某个 Agent × 某个 Environment 的运行实例。服务端持久化文件系统、对话历史与状态；关掉 SSE 半小时后再连仍在。 | 唯一算钱 的对象 |
| Events | 双通道：POST /events 发用户消息，GET /stream 消费 agent SSE。中途可 steer（插话改向）或 interrupt（打断）。 |
会话内 流式 |
内置工具是把 Claude Code 那套「搬到云上」：Bash · File ops（read/write/edit/glob/grep）· Web search & fetch · MCP servers。当前所有端点仍在 beta，需要 managed-agents-2026-04-01 beta header。
Managed Agents 是有状态的（会话历史、沙箱 fs、outputs 全部服务端持久化）——因此不适用 Zero Data Retention，也不适用 HIPAA BAA。金融/医疗生产工作负载要慎重，或走 self-hosted sandbox + MCP tunnel 组合把数据留在你自己的边界内。
三演化：2026 年的三波跃迁#
— Beta → Cognition → Perimeter
沙箱执行 / Checkpoints（断线自动恢复）/ Scoped permissions / 长会话（分钟到小时）。同日把 Claude Code SDK 更名 Claude Agent SDK——harness 正式变成通用 agent 底座。
Code w/ Claude 大会一次性推出三个「元技能」：跨会话记忆巩固、独立 grader rubric 打分、最多 20 specialist × 25 并发的多智能体编排。还加了 Webhooks，把 agent 变成异步任务原语。
Agent Loop 留在 Anthropic 云，工具执行搬到用户侧（Cloudflare / Daytona / Modal / Vercel / 自建）；反向 tunnel 让 agent 调用你内网 MCP，不开公网入向端口。企业级正式落地。
3.1 Dreaming · 让 agent 学会做梦
Dreaming 是本轮更新里最有想象力的一件。它不是新研究——Reflexion / Voyager / MemGPT 各有做法——但 Anthropic 把它做成了基础设施级别的定时任务：不改模型权重、只写 memory 副本、审查即回滚。这套「安全 + 可控 + 官方 blessed」的组合，恰好把「自进化 agent」从论文推向了生产。
agent 不工作的时段，Dreaming Job 异步读入 memory store + 过去最多 100 条会话 transcript，产出一份全新的 memory store 副本——重复项合并、矛盾条目更新、跨会话模式挖掘。整个过程可 SSE 订阅、可人工审查、不覆写原库。
多 agent 独立写入的高度相似记忆整合为一条精炼记忆。
用最新值替换已过时或互相矛盾的条目，让记忆库保持一致。
识别单个 agent 看不到的 recurring mistakes、workflow convergence、团队 preferences。
- 不修改原库：Dreaming 始终产出一份 new memory store 副本，可审查、可回滚，也可选自动接管。
- API 端点：
/v1/dreams；job 启动后暴露session_id，完整过程可 SSE 订阅。 - Harvey 数据：任务完成率约 6×——但基线未公开，需谨慎读数。
- 研究根基：与 Anthropic 内部 Sleep-time Compute 研究、Claude Code 3 月泄漏出的 Auto Dream 一脉相承。
3.2 Outcomes · rubric-grader 的产品化
你写一份 rubric 描述「什么算成功」，一个独立的 grader 用独立上下文窗口打分。当结果不达标，grader 指出具体差距，agent 再跑一遍。
核心妙处在「grader 独立上下文」——不受 agent 推理过程影响，避免 self-grading 常见的自我合理化。内测数据：宏观任务成功率 +10 pt；docx 生成 +8.4%、pptx 生成 +10.1%。配合 Webhooks，agent 从「同步流」正式变成「异步任务」原语——发起任务、放着跑、完成回调。
3.3 Multiagent Orchestration · 20 × 25 的分工
一个 lead agent 把任务拆分成小块，最多分配给 20 个 specialist（各自独立 model / prompt / tools），最多 25 个并发，共享一个文件系统。lead agent 可以在中途 check-in，Console 里可完整追溯每个子 agent 的时序。已披露的用例：Netflix 平台组用它做跨源日志分析；Every 家的 Spiral 用 Haiku-Lead + Opus-Draft 的作家 agent。
3.4 Self-hosted Sandbox + MCP Tunnels · 边界解耦
5 月 19 日这波是真正把 Managed Agents 变企业级的更新——Agent Loop 与 Sandbox 解耦。
Agent 跑在 Sandbox 里
Claude Agent SDK 的默认形态：一个进程、一个 filesystem。安全边界 = 你自己搭沙箱集群。
Loop 云端 · Sandbox 用户侧
Agent Loop 云托管，工具执行搬到你的基础设施（Cloudflare / Daytona / Modal / Vercel / 自建）；内网 MCP 通过反向 tunnel 出向连接，无入向端口。
MCP Tunnels 是配套的关键机制：部署一个轻量出向 gateway，agent 就能调用你内网里的 MCP Server（数据库、内部 API、工单系统），全程无入向防火墙规则、端到端加密。
四三条深层判断#
— What this means, not just what it does
早期做法（Agent SDK 默认形态、早期 Deep Agents）是 Agent 跑在 Sandbox 里——同进程、同 fs。5 月起 Managed Agents 走的是 Loop 云托管 + Sandbox 用户侧。用户拿到「安全边界 + 内网可达 + 资源自定义」；Anthropic 拿到「harness 独立演进、跨模型代际优化」的自由度。LangChain Deep Agents 官方对比也承认：这是「production agent 架构的方向」。
Dreaming 从技术上没有革命性——Reflexion / MemGPT / Voyager 早有尝试。但 Anthropic 把它做成了基础设施级别的定时任务 + 副本审查回滚，等于对齐了一个共识：agent 自改进的可信路径 = memory-based（可回滚），而不是 weight-based（不可回滚）。这个结论也直接决定了未来两年学术界研究的走向。
Outcomes 用独立 context window 的 grader 打分，是防止 self-grading bias 的关键设计。但 grader 依然是自家模型 → evaluator-generator 同源。这既是 Anthropic 竞品的原型，也留下了一个必须解决的 gap：跨模型 grader mixture 或 anti-collusion 设计——这是学术 novelty 的空间。
五竞品位次#
— Deep vertical, not multi-cloud neutral
| 产品 | Agent 跑在哪 | 执行后端 | 模型 | 多租户 | 生态定位 |
|---|---|---|---|---|---|
| Claude Managed Agents | Anthropic 云 | Anthropic 沙箱 / self-hosted (Cloudflare/Daytona/Modal/Vercel/自建) | 仅 Claude | 需自建 | Anthropic 亲自托管，深度垂直 |
| Claude Agent SDK | 你的沙箱内 | 沙箱本地 fs | Claude（Anthropic / Bedrock / Vertex / Azure） | 自建 | 同款 harness、你自托管 |
| LangChain Deep Agents | 沙箱内 / 沙箱外 as-tool | 可插拔 backend | 100+ 家 | 内建 | 多云中立 & 多模型 |
| OpenAI Agents SDK / AgentKit | 你自己主机 | 用户侧 | OpenAI | 自建 | 更薄 harness |
Anthropic 的策略很清晰：不做多云中立，做垂直深度。围绕 Claude 一家模型，把 harness / evaluator / memory / 多智能体 / self-hosted sandbox / MCP 全部封装成官方原语，跟 Claude Code 双向反哺。对于「押注 Claude 一家」的团队，这是几乎无缝的从原型到生产路径；对于「多模型多云」的团队，这是一堵护城河。
六治理与地缘风险#
— The two ceilings above the runtime
Managed Agents 有状态 → 不适用 ZDR / HIPAA BAA。金融、医疗、政务等严监管场景要上生产，只能走 self-hosted sandbox + MCP tunnel 组合把数据留在你自己边界内——这也是 5 月 19 日更新的核心动机。
Anthropic 从 2025-09 起明确禁止「中国控股 >50% 的企业」接入。2026-04 起 Claude Code 2.1.91+ 内嵌基于时区/代理域名的隐蔽指纹标记——通过 system prompt 里的日期文本做隐写术分类，无额外网络请求，被开发者社区逆向出来后官方承认为「实验性反滥用措施」。2026 年 6-7 月阿里内部反向禁用 Claude 全线产品（Sonnet / Opus / Fable / Claude Code），7-10 生效。
2026-06《SkillJect》论文指出，agent 技能生态（skills / MCP servers）本身就是新型供应链攻击面。Managed Agents 允许挂 MCP 与 skills，这正是攻击者最感兴趣的入口——Outcome 里的 rubric、Dreaming 生成的 memory，都是可污染的对象。
含义：中国团队想用 Managed Agents 的完整能力（dreaming / outcomes / multiagent）走生产，基本不现实。合规策略上，只能考虑三条路：① 通过 AWS Bedrock 走 Claude Platform on AWS 版本（能力有阉割）；② 用 Claude Agent SDK 自托管 + 用其他模型（生态断层）；③ 观察 LangChain Deep Agents / OpenAI Agents / 阿里通义 Qoder 等替代 harness 的成熟度。
七对研究方向的启示#
— How to build on top / how to compete
Dreaming as a Benchmark Target
Dreaming 是一个可测量的自进化机制：输入（session transcripts + memory）→ 输出（new memory store）。整个过程可 SSE 追踪、有 session_id。天然适合做反事实基准——固定 transcripts、扰动 memory、观察下游任务成功率。可以直接成为你反事实基准论文的 workload。
Outcomes 是竞品，也是标杆
做通用 Agent 评估框架，Outcomes 是绕不开的对照组。建议先复刻它的 rubric-grader 语义，再在「同源 grader 偏差」上打差异化——这是他们的短板，也是学术 novelty 所在。跨模型 grader mixture / anti-collusion 是自然的攻角。
解耦架构 = 评估的机会
Managed Agents 把 harness 与 sandbox 分离后，「同一个 harness × 不同 sandbox」的可对比性变强了。可以设计一个基准：固定 Claude 模型 + 固定 harness，在 Cloudflare / Daytona / Modal / self-host 上跑同一 task set，测量「基础设施对 agent 表现的干扰」——这是学界几乎无人做的 sanity check。
- 把 Dreaming 的
/v1/dreamsjob 语义抽象成 reference workload，纳入反事实基准的 initial task set。 - 复刻 Outcomes 的 rubric-grader，做一版同模型自评 vs 跨模型互评的对照实验，量化 same-family bias。
- 关注 LangChain Deep Agents / Anthropic Managed Agents 的 harness 演进，作为反事实基准的执行后端候选。
八待验证问题#
- Harvey 报告的「~6× 任务完成率」基线是什么？在受控实验下能否复现？
- Dreaming 生成的 memory 副本能否被恶意 transcript 污染？攻击面在哪里？
- Outcomes 的独立 grader 若换用他家模型（跨家族），改进量是否维持在 +10 pt？
- Self-hosted sandbox 各家（Cloudflare/Daytona/Modal/Vercel）在同一任务下的 agent 表现差异有多大？
修订记录：2026-07-03 初稿（综合 4 篇 Anthropic 官方公告 + 官方文档 + LangChain 竞品对比 + 中文技术社区拆解）