Immaginate un agente AI che alle tre di notte ripara una build rotta, rilancia i test di una release e smazza il backlog dei bug. Da solo, senza nessuno che lo guardi. Bello? Sì. Rassicurante per chi si occupa di sicurezza? Diciamo che il caffè delle otto diventa un doppio.
Anthropic ha aperto in private beta i Managed Agents self-hosted di Claude. Accesso su richiesta, non per tutti. In parole povere: l’intero servizio per far girare agenti autonomi lo fai vivere nel tuo cloud o nei tuoi server fisici.
Da dove si parte
I Managed Agents sono un set di API componibili per costruire e mandare in produzione agenti autonomi. Dentro ci sono l’harness (il motore che chiama il modello e gestisce il ciclo dell’agente), le sandbox (ambienti isolati dove l’agente esegue codice), la gestione delle credenziali e lo storico delle sessioni.
All’inizio girava solo come servizio ospitato sulla Claude Platform, con l’infrastruttura a carico di Anthropic. Poi sono arrivate le sandbox self-hosted, per chi voleva il codice dentro i propri confini. Ma gli agenti nel frattempo sono diventati più capaci e si sono presi compiti più delicati. E allora certi team hanno detto: vogliamo tutto in casa, non solo le mani dell’agente.
Prima di oggi, questo voleva dire una cosa sola: costruirsi la piattaforma da soli. Roba da mesi di lavoro.
Cosa gira dove
Con la versione self-hosted gestisci tu il server dei Managed Agents, il suo database e i worker, cioè le macchine dove l’agente esegue i comandi di shell e lavora sui file. Anche lo storico delle sessioni vive nel tuo database.
E il modello? Le richieste le mandi dove preferisci: direttamente ad Anthropic, oppure ad Amazon Bedrock, alla Agent Platform di Google, a Microsoft Foundry, o a un tuo gateway. Quattro strade, scegli quella che il tuo ufficio acquisti non odia.
Una nota per chi ha la zero data retention (ZDR): si applica alle richieste verso Claude esattamente come per qualsiasi altra chiamata alla Messages API. Nessuna eccezione, nessuna clausola nascosta.
Gli sviluppatori continuano a costruire agenti con le stesse API di base del servizio ospitato. Il codice non cambia, cambia dove gira.
I quattro principi di sicurezza
Se nessuno controlla ogni passo, i limiti devono stare dentro il sistema, non nelle buone intenzioni. Anthropic dice di aver progettato tutto su quattro principi, validi sia se ospiti tutto, sia solo la sandbox, sia l’intero servizio.
Cervello e mani separati
L’harness è il cervello: chiama Claude. La sandbox sono le mani: ci gira il codice dell’agente. Restano separati di proposito. Il ciclo dell’agente, lo storico e i segreti del vault stanno fuori dalla sandbox.
Effetto collaterale utile: l’agente non dipende da una singola sandbox che deve sopravvivere per tutta la corsa. Le sandbox partono solo quando uno strumento ne ha bisogno, e lo storico è un log di eventi che sta altrove.
Le credenziali non entrano nella sandbox
Per gli strumenti MCP e per le chiamate API supportate, un proxy fuori dalla sandbox aggiunge la credenziale alla richiesta. L’agente la password non la vede mai. Con la versione self-hosted puoi tenere i segreti nel tuo secrets manager.
La rete si può stringere
Puoi limitare ogni ambiente a una lista di host consentiti. Tutto il resto viene bloccato. Per un agente che ripara build rotte la lista potrebbe contenere due voci: il tuo server git e il tuo registry dei pacchetti. Se ospiti tu la sandbox, gli stessi limiti li imposti nel tuo firewall.
Ogni sessione lascia una traccia completa
Ogni passo dell’agente viene registrato, comprese le chiamate agli strumenti e le risposte ricevute. Il record si esporta via OpenTelemetry, quindi lo puoi mandare agli strumenti che già usi e guardare cosa fa l’agente accanto al resto dei tuoi sistemi.
Come ci si arriva
L’entusiasmo si ridimensiona un attimo: è private beta. Niente bottone ‘attiva’ nel pannello. Bisogna contattare il proprio account team Anthropic e chiedere l’accesso, oppure partire dalla documentazione per capire se l’architettura regge con la vostra infrastruttura.
Il punto pratico: se finora avete tenuto gli agenti fuori dal codice più sensibile perché il servizio non stava nel vostro perimetro, ora quella scusa ha un’alternativa concreta. Resta da vedere quanto lavoro operativo richiede gestire server, database e worker in proprio. Il controllo è vostro. Ma anche le notti di reperibilità.
