Anthropic разрешила запускать Claude Managed Agents на своих серверах

Anthropic 12 ноября 2026 года открыла закрытую бету self-hosted Claude Managed Agents: весь сервис для автономных агентов на Claude теперь можно развернуть в своём облаке или в собственном дата-центре. У компании-клиента остаются сервер с циклом агента, база с историей сессий, учётные данные и песочницы, где агент выполняет команды, а запросы к модели уходят туда, куда она решит: в Claude API, к облачному провайдеру или в свой шлюз.

Для команд, которые хотят пустить агента чинить сборки, разбирать алерты или закрывать баги во внутреннем коде, это снимает главный вопрос безопасников: где хранится всё, что агент видел и делал. Раньше вынести к себе можно было только песочницы, а остальную платформу пришлось бы строить самим. API у self-hosted версии тот же, что у облачного сервиса, поэтому SDK и CLI ant работают с ним, хотя часть определений агентов и сценариев, по списку отличий, придётся поменять.

Что теперь можно держать у себя?

Claude Managed Agents — набор API Anthropic для запуска долгоживущих автономных агентов: разработчик описывает агента, запускает сессию и обменивается с ним событиями, а платформа даёт обвязку агента, песочницы, работу с учётными данными и историю сессий. До сих пор было два варианта: всё в облаке Anthropic или свои песочницы при облачном сервисе. Документация описывает третий вариант, в котором клиент хостит и песочницы, и сам сервис.

Одна установка состоит из сервера cma-server, его базы и воркеров. Сервер отдаёт API, крутит цикл агента, хранит агентов, сессии и их историю и вызывает модель, но сам никогда не запускает shell и файловые инструменты агента. Это делают воркеры: команда ant beta:worker или воркер из SDK забирают задачи с сервера и выполняют их в песочницах. Хранилище — PostgreSQL 16 или новее; без базы сервер держит данные в памяти и теряет их при перезапуске. Ещё в комплекте веб-консоль на адресе сервера с входом через корпоративный провайдер удостоверений и админская утилита cma-server-admin для Linux и macOS на Apple silicon.

Куда уходят запросы к модели?

По умолчанию сервер отправляет запросы в Claude API, но параметр inference.provider переключает его на Amazon Bedrock, Claude Models on Google Cloud, Microsoft Foundry или собственный шлюз моделей. Агенты при этом указывают модель по обычному ID Claude API, например claude-opus-5-5, а сервер сам переводит его в идентификатор провайдера. В случае с Bedrock серверу нужны права bedrock:InvokeModel и bedrock:InvokeModelWithResponseStream, а также bedrock:ListFoundationModels и bedrock:ListInferenceProfiles для чтения каталога моделей (его можно отключить настройкой inference.list_models: false); ключ Claude API при этом не нужен.

Наружу при каждом вызове модели уходит переписка сессии с входами и результатами инструментов; при работе через Claude API к запросу добавляются ID сессии, агента и окружения. История сессий хранится в базе клиента, а если у организации с Anthropic оформлено нулевое хранение данных (ZDR), оно, по словам компании, распространяется на эти запросы так же, как на любой вызов Messages API.

Как Anthropic ограничивает агента?

В анонсе компания перечисляет четыре принципа, общие для всех трёх вариантов. Первый — разделение «мозга» и «рук»: обвязка, которая вызывает Claude, и песочница, где выполняется код агента, работают отдельно, поэтому цикл агента, история и секреты хранилища остаются вне песочницы, а песочница запускается только когда инструменту она нужна.

• Учётные данные не попадают в песочницу: для MCP-инструментов и поддерживаемых API-вызовов их подставляет прокси снаружи, а в self-hosted версии секреты можно держать в своём менеджере секретов.
• Сетевой доступ режется списком разрешённых хостов: агенту, который чинит сборки, достаточно git-хостинга и реестра пакетов. Со своими песочницами те же правила задаются в собственном файрволе.
• Каждая сессия оставляет полный журнал шагов, вызовов инструментов и их результатов, который выгружается по OpenTelemetry в уже используемый мониторинг.

Документация при этом прямо перекладывает часть ответственности на клиента. Инструмент bash у агента — настоящий shell с правами и сетевым доступом процесса воркера, и сам воркер его не изолирует. Изоляцию даёт среда: стек Docker Compose и Helm-чарт cma-sandboxes запускают воркер каждой сессии в отдельном контейнере или поде, а воркер, запущенный вручную, Anthropic советует держать в одноразовом контейнере или ВМ, где нет ничего ценного. Защита сервера, хранилищ памяти и отслеживание необычной активности тоже на клиенте, а для разных уровней доверия нужны отдельные установки.

Чего нет в self-hosted версии?

Список отличий от облачного сервиса стоит прочитать до переезда. Автоматически из облака ничего не копируется, включая историю сессий: агентов, скиллы, учётные данные и хранилища памяти нужно создать на своём сервере заново.

• Только окружения self_hosted: запрос облачного окружения вернёт ошибку 400.
• Сервер не отдаёт Messages API и Models API, вызовы /v1/messages и /v1/models вернут 404, их нужно слать напрямую в Claude API или провайдеру.
• Нет Files API и файловых ресурсов сессии: файлы кладут в рабочий каталог воркера, а картинки и PDF передают модели в base64.
• Нет OAuth-учёток mcp_oauth: токен хранят как static_bearer и обновляют вручную до истечения.
• Нет готовых скиллов docx, pdf, pptx и xlsx: их исходники можно скачать из репозитория скиллов и загрузить как свои.
• Нет запланированных запусков, «снов» агента и вебхуков: сессии запускают своим планировщиком, например cron, а за ходом работы следят через поток событий.

Есть и то, чего нет в облаке: выбор провайдера модели, единый вход через OpenID Connect с ролями из групп, хранение секретов во внешнем менеджере и подпись короткоживущих токенов агента для MCP-серверов. Консоль на platform.claude.com содержимое собственного сервера не показывает, для этого есть консоль на самом сервере.

Как попробовать?

Доступ к архиву с релизом выдаёт аккаунт-команда Anthropic. Быстрый старт поднимает всё на одной машине через Docker Compose: сервер, PostgreSQL и воркеры, каждый со своим контейнером-песочницей. Нужны свежий Docker Engine с плагином Compose, хост минимум с двумя CPU на x86-64 или Arm, openssl, CLI ant и ключ Claude API. Архив распаковывают и переходят в его каталог compose, затем задают секреты стека в файле .env, заменив sk-ant-... настоящим ключом Claude API:

			tar -xzf <archive>.tar.gz && cd <archive>/compose
cat > .env <<EOF
CMA_PG_PASSWORD=$(openssl rand -hex 32)
ANTHROPIC_API_KEY=sk-ant-...
CMA_SERVER__API_KEY=$(openssl rand -hex 32)
CMA_STORE__CREDENTIALS_ENCRYPTION_KEY=$(openssl rand -base64 32)
EOF
chmod 600 .env
docker compose up --build -d
curl -s http://127.0.0.1:8400/cma-server/readyz
		

Этот стек Anthropic называет средой для разработки: он отдаёт обычный HTTP на порту 8400, а в некоторых версиях Docker Engine до 28.3.3 этот порт виден не только с loopback, но и из локальной сети хоста. Для продакшена компания рекомендует два Helm-чарта из релиза. В архив каждой версии входит operator-guide.md, который Anthropic предлагает отдать Claude, чтобы тот помог настроить сервер.

О том, как Anthropic предлагает устраивать память агентов на Managed Agents и Agent SDK, мы писали в разборе из чего собрать память агента и зачем ему «сны».

Цены и сроки выхода из закрытой беты Anthropic не назвала. Обновления клиент ставит сам, а часть облачных функций, включая «сны» агента, в self-hosted версии пока не имеет замены.

Источники: Anthropic: Operate Claude Managed Agents inside your security perimeter, Claude Platform Docs: Self-hosted Claude Managed Agents, Claude Platform Docs: Differences from the hosted service, Claude Platform Docs: Inference provider, Claude Platform Docs: Quickstart

Изображение на обложке: Anthropic