Claude Managed Agents 開放自架私人測試：控制服務、憑證與紀錄放在哪裡？
Claude Managed Agents 自架私人測試開放，解析控制服務、資料庫、憑證與工具隔離，分清自行保存工作歷史和模型推論資料外傳。
企業希望 AI 代理替自己完成工作，也希望知道任務紀錄存在哪裡、工具憑證由誰保管。代理一旦能連續呼叫內部系統，這些問題就會影響它能被允許處理什麼資料。
Claude 在 2026 年 11 月 12 日介紹自架版本的 Claude Managed Agents，採私人測試提供。企業可以把代理的控制服務、憑證與工作歷史放進自家雲端或內部環境，並選擇模型請求送往哪個提供者。
這次範圍比先前自架沙盒更大。沙盒是執行工具的隔離空間。現在移入企業環境的，還包括安排代理步驟的服務，以及保存工作狀態的資料庫。
模型推論仍然是另一條資料路徑。官方文件明確寫出，每次模型呼叫會把當時的對話內容送到所選提供者，因此自行保存歷史，無法直接等同內容完全留在內部。
我會建議已需要內部網路工具、又能承擔伺服器維運的團隊評估。若需求只是免維護地建立代理，自架帶來的備份、隔離與更新責任，也應算進採用成本。
判斷這次更新是否適合自己的企業，先要把控制服務、工具執行與模型推論畫成不同位置。只有分清各自做什麼，才看得懂哪些資料路徑真的改變。
自架服務移入企業環境，代理工作分成哪些部分？
Claude Managed Agents 原本提供安排代理工作的受管能力，讓開發者不用自行處理每一次工具呼叫後要如何繼續。這裡的代理，是能依任務反覆讀取結果、選擇工具並接續工作的程式流程。
自架版本把這套控制服務交由企業部署。它接收應用程式請求、維持工作狀態，並執行代理循環，也就是在模型回應與工具結果之間，決定下一步如何接續的安排。
依官方自架文件，服務端稱為 cma-server，負責介面、代理循環與儲存。呼叫服務的應用程式、命令列工具與後續工作程序，都需要有各自適當的連線設定。
工具工作程序則負責執行命令與檔案操作。官方特別區分，控制伺服器本身不直接跑這些工具，工作程序會向服務取得任務，再把執行結果交回。
這種分工讓企業能分別安排資料儲存與工具所在網路。需要讀內部資源的工作程序，可以放在受控環境。控制服務是否也能連線到特定系統，則由部署者的網路與權限決定。
先前只自架工具沙盒時，代理控制與部分工作歷史仍由受管服務處理。11 月 12 日這次更新，擴大到整個控制服務與其保存的狀態，是兩次消息需要分開的原因。
因此，閱讀新版本時，可以先問企業想控制的是工具能碰到哪裡、工作紀錄存在何處，還是模型內容送往哪裡。這些需求都與代理有關，卻不會由同一項部署設定全部解決。
工作歷史放進自己的資料庫，也需要持久保存
自架讓企業自行管理代理工作歷史，包含工作如何開始、經過哪些工具與取得什麼結果。這對已有內部資料保留規範的團隊有用，因為儲存位置與存取人員能納入自己的制度。
官方文件支援以 PostgreSQL 保存資料，要求版本為 16 或更新。PostgreSQL 是關聯式資料庫，這裡的用途是讓工作狀態在程序重新啟動後仍可繼續存在。
若沒有設定資料庫，伺服器使用記憶體儲存，重新啟動就可能遺失資料。因此，能在電腦上成功啟動示範服務，和已具備可恢復的企業環境，是不同的完成條件。
資料庫由自己管理，也意味著備份與復原要自己安排。若工作紀錄是追查工具操作的依據，備份是否可讀、回復後是否能對上原本工作，都會影響稽核的完整性。
官方亦提供輸出工作歷史與 OpenTelemetry 連接方式。OpenTelemetry 是把程式事件送到監控系統的通用方法，企業可以把代理紀錄接進既有觀測與調查流程。
接進監控系統後，資料仍需保護。工具結果可能帶回內部文件或客戶資訊，若所有工程人員都能查完整對話，就可能讓原本受限制的內容在另一個系統擴大曝光。
因此，部署時應一起定義服務資料庫與監控平台的權限、保留期限及刪除方式。自己持有資料提供調整空間，實際保護程度仍取決於這些設定是否落實。
這也說明，自架的成本不能只看容器能否執行。當資料被用來支援持續工作，資料庫維運就成為代理服務可靠性的一部分，而非上線之後才補的附屬工作。
模型仍由提供者推論，對話資料會走另一條路
自架控制服務與自架模型是兩件事。這次更新讓企業運行代理服務，模型運算則仍可送到 Anthropic 或其他支援的提供者，也可依企業環境安排自己的閘道。
閘道是請求進出時經過的共同入口，可用來統一管理路由與驗證。它幫企業決定請求往哪裡走，卻不會因為多了一層轉送，就自動讓模型在企業機房裡完成運算。
官方產品公告列出多種推論入口，讓企業選擇已有合作與管理機制的提供者。各入口的地區、合約與功能條件，仍需按選用的服務確認。
自架文件對資料內容說得很清楚：每次呼叫模型，會傳送當時累積的對話，包括工具輸入與結果。工具在內部網路執行，不代表它帶回的內容一定留在該網路。
例如代理讀完一份內部報告後，需要模型判斷下一步，報告的工具結果便可能成為後續模型請求的一部分。這是依文件機制說明的情境，並非本站實測某家企業的資料流。
因此，有敏感資料限制的團隊，應把工具回傳內容也列入檢查。若只限制應用程式最初送出的提示詞，卻忽略之後累積的工具結果，就會漏掉重要的外傳路徑。
官方提到的零資料保留，亦有既有組織協議等適用條件。它涉及推論提供者如何保留請求，不能直接推成自架版本預設替每位使用者取得相同條款。
企業可以控制服務與選擇提供者，得到的是安排資料路徑的能力。是否符合自身政策，仍要把每一個模型入口的實際條款與資料內容放在一起看。
憑證分開保管，工作程序還是需要真正隔離
自架服務使用不同用途的憑證。應用程式連控制服務的金鑰、伺服器呼叫模型的推論憑證，以及工作程序取得任務的環境金鑰，對應的是不同信任關係。
把用途分開，能避免某一端取得不必要的權限。例如工作程序需要知道自己可以取哪個環境的工作，通常不需要同時拿到可管理整個服務的金鑰。
官方也介紹憑證代理設計，讓支援的工具連線可由代理服務加入憑證，減少祕密直接暴露在沙盒的機會。這項設計有適用工具與部署條件，不能推成所有程式都永遠看不到任何憑證。
更關鍵的是，工作程序本身不提供完整的命令隔離。官方文件提醒，命令會繼承工作程序所在程序的權限與網路能力，因此直接把它放在高權限主機上，會擴大代理可觸及的範圍。
部署者需要另外提供可丟棄的容器或虛擬機器。容器與虛擬機器是安排獨立執行環境的方法，實際仍要設定可讀取的檔案、可連的網路，以及工作完成後如何清除。
不同信任程度的工作，也不應只因為使用相同軟體，就被放在同一個部署裡。官方要求以獨立部署處理信任邊界，讓低信任工作的憑證或程式不會順勢取得高信任資源。
例如外部上傳檔案的分析與內部管理操作，可能需要不同的工作環境及服務權限。這是部署規劃的示例，目的是把可執行範圍具體化，並非公告宣稱所有情境已有自動分類。
因此，憑證管理與沙盒隔離應一起驗證。只把金鑰搬進內部保管庫，卻讓工具程序保有過大的檔案與網路權限，仍無法形成清楚的執行邊界。
私人測試適合先驗證一條完整工作流程
截至 2026 年 11 月 13 日查核，這項自架選項採私人測試，需依官方管道洽詢，不能當成所有 Claude 帳號在設定中就能直接打開的公開功能。
官方表示可沿用核心介面、開發工具與命令列工作方式，這有助減少應用程式改動。但受管與自架環境仍有功能差異，不能由相同介面推論每項服務能力都完全相同。
第一次評估可以先選單一、可回復的內部工具任務，走完建立工作、執行工具、保存紀錄及再次讀回的流程。這樣能同時驗證控制服務、工作程序與儲存的連接是否正確。
接著再測試中斷。若控制服務重新啟動、工作程序離線或模型請求失敗，部署團隊應知道工作停在哪一個步驟，以及重試是否可能重複執行已完成的動作。
這些是企業採用時應建立的驗收條件，本文沒有宣稱已替產品重跑。它們之所以必要，是因為自架把可靠性與操作權限交給部署者，不能只依一次成功回覆判定可承擔正式工作。
成本比較也應涵蓋資料庫、工作程序、監控、備份與更新維護，再加上所選模型入口的用量費用。官方公告未提供可套用所有企業的固定總價，不能替缺少的部分填入推估數字。
若團隊已經有成熟的容器、金鑰與資料庫管理，自架可能讓代理更容易接到內部規範。若這些基礎尚未建立，維運投入可能比單一代理功能更大，應先確認投入是否符合工作量。
Claude Managed Agents 自架常見問題
可以把 Claude 模型完全離線執行嗎？
這次開放的是代理服務自架，模型請求仍送往選用的提供者。部署者應確認每次對話與工具結果如何傳送，不能把控制服務放在內部等同模型完全離線。
只啟動工作程序，就有安全沙盒嗎？
工作程序會使用所在程序的權限，隔離需要部署者提供。容器、虛擬機器、網路限制與金鑰範圍，都應依可執行的任務另外設定，再以具體操作確認。
工作歷史會自動永久保存嗎？
需要設定持久儲存。官方文件的記憶體模式在重啟後可能遺失資料，正式保存與復原還涉及資料庫、備份及資料保留政策，無法由啟動成功直接推論。
現在所有帳號都能採用嗎？
公告為私人測試，適用資格與功能要依官方確認。評估時可以先準備資料路徑、工具權限與需要的介面清單，讓洽詢聚焦在是否能滿足實際部署條件。
已有維運能力、又需要把代理控制與紀錄放入企業環境的團隊，可以先用一條低風險流程試驗。當資料路徑、復原與工具隔離都能被核對，再擴大權限，才有依據把自架能力接到正式工作。
延伸閱讀：Factory OpenCompute 開放私人預覽：代理沙盒放進自家雲端，哪些資料仍要確認？
延伸閱讀：Perplexity SPACE 開源：每個 AI 任務一台微型虛擬機，憑證與連線怎麼管？
