Managed AgentsSandboxes auto-hospedadas

Modelo de segurança

Copy page



Modelo de responsabilidade compartilhada para ambientes de sandbox auto-hospedados.

A Anthropic protege o plano de controle em todos os ambientes: integridade de sessões e filas de trabalho, isolamento multilocatário e minimização do contexto do agente. Quando você faz auto-hospedagem, as seguintes responsabilidades ficam a seu cargo.

O que é de sua responsabilidade

• Qualidade da imagem do sandbox e hardening do runtime. A Anthropic não inspeciona nem verifica sua imagem de sandbox. Siga boas práticas, como remover capabilities do Linux desnecessárias, executar como usuário não root e usar um sistema de arquivos raiz somente leitura.
• Controles de egress de rede. O acesso à rede do seu sandbox é determinado pelas regras da sua VPC e do seu firewall. Sem restrições de egress (tráfego de saída), uma execução de ferramenta comprometida pode alcançar hosts externos arbitrários. Restrinja o tráfego de saída apenas aos endpoints que suas ferramentas exigem.
• Armazenamento e rotação da chave de serviço. A chave de serviço do ambiente (ANTHROPIC_ENVIRONMENT_KEY) autoriza a consulta (polling) da fila de trabalho do seu ambiente e o envio de resultados de volta às sessões. Armazene-a em um gerenciador de segredos, não em arquivos de ambiente ou imagens de sandbox. Faça a rotação imediatamente se suspeitar de exposição.
• Isolamento de cargas de trabalho não confiáveis. A chave de serviço do ambiente tem escopo restrito à fila de trabalho de um único ambiente. Se você executa código não confiável dentro do seu sandbox, considere provisionar um workspace e um ambiente separados para cada fronteira de confiança. Isso limita cada chave às sessões de um único usuário, em vez de um pool compartilhado.
• Credenciais por sessão. Cada item de trabalho que seu worker reivindica pode carregar um secret por sessão, que o worker do SDK usa no lugar da chave de serviço do ambiente. O acesso aos memory stores (armazenamentos de memória) exige o secret: os endpoints de memory store rejeitam a chave do ambiente (consulte Usar memory stores). Passe o secret apenas para o sandbox que atende àquela sessão, mantenha-o fora de imagens e volumes compartilhados e nunca o registre em logs.
• Raio de impacto da execução de ferramentas. As ferramentas são executadas dentro do seu sandbox com as permissões que seu processo tiver. Aplique o princípio do menor privilégio ao usuário do processo e monte apenas os diretórios que suas ferramentas exigem.
• Retenção de logs e conteúdo de sessão. O conteúdo das conversas e as saídas das ferramentas passam pelo seu worker e permanecem no seu ambiente. Você é responsável por reter, redigir ou excluir esses dados em conformidade com suas próprias políticas. A Anthropic não tem visibilidade sobre o que seu worker faz com o conteúdo da sessão depois de entregue.
• Conteúdo dos memory stores. Os memory stores permanecem hospedados pela Anthropic, incluindo seu histórico de versões. Quando uma sessão anexa um deles, o worker mantém uma cópia de trabalho em /mnt/memory/ no seu sandbox durante a sessão e sincroniza as alterações de volta. O worker exclui essa cópia quando a sessão termina, mas um worker que encerra sem executar seu teardown a deixa para trás. A limpeza de cópias remanescentes, as permissões nesse caminho e o isolamento entre sessões que compartilham um sistema de arquivos são de sua responsabilidade.
• Memory stores somente leitura. Um store anexado com acesso read_only está protegido contra upload, não contra modificação local. As ferramentas write e edit do worker se recusam a gravar em seu diretório, nada ali é sincronizado de volta, e os endpoints de memory store rejeitam gravações nele feitas com o secret da sessão. Outros processos no sandbox ainda podem alterar a cópia local: comandos que o agente executa por meio da ferramenta bash, e ferramentas personalizadas ou servidores MCP que você serve a partir do sandbox, que são executados com as permissões do worker. Chamadas de ferramenta posteriores nessa sessão leem a cópia alterada até que essa memória seja alterada novamente no store. Se o agente não deve ser capaz de alterar nem mesmo sua visão local de tal store, desative a ferramenta bash para esse agente e não forneça a ele nenhuma ferramenta personalizada que grave no sistema de arquivos do sandbox.

O que a Anthropic não pode fazer por você

• Saber que sua chave vazou. A Anthropic pode detectar padrões de uso anômalos, mas não pode saber que sua chave foi comprometida. Se você suspeitar que a ANTHROPIC_ENVIRONMENT_KEY vazou, revogue-a e gere uma substituta imediatamente. A revogação é validada em cada requisição, portanto entra em vigor na próxima chamada do worker.
• Verificar o build do seu worker. A Anthropic não inspeciona sua imagem de sandbox nem seu runtime. Um comprometimento da cadeia de suprimentos na sua imagem não é detectável a partir do plano de controle.
• Isolar ferramentas dentro do seu sandbox. A fronteira de segurança da Anthropic termina no sandbox. Como você isola execuções individuais de ferramentas umas das outras dentro dessa fronteira é inteiramente de sua responsabilidade.
• Impor retenção de dados no seu ambiente. Uma vez que o conteúdo da sessão chega ao seu worker, ele está fora dos controles de ciclo de vida de dados da Anthropic.