安全風險與沙箱邊界

為什麼代理的設定對安全性很重要，以及 Managed Agents 沙箱能做與不能做的事。

本頁說明為什麼保護您的 Managed Agents 部署中的設定很重要，以及沙箱能做與不能做的事。

為什麼這很重要

代理所讀取內容中的隱藏指令可能會操控代理。這稱為「prompt injection」（提示注入）。Claude 本身對此具有抵抗力，但模型行為並不是一種安全控制措施。保護您的 Managed Agents 部署中的設定可在攻擊嘗試成功時限制其影響。

Claude 在持續努力完成您交付的任務時，也可能採取您未預期的步驟。例如，它可能會使用其可存取的工具或憑證來克服障礙。相同的設定會限制此類步驟所能觸及的範圍，而離線審查者可以在事後標記它。

可能出錯的情況	範例	控制措施
不受信任的輸入操控代理	一張工單要求代理取消所有未結訂單	最小的工具集、讓不受信任的輸入遠離強大的工具、核准有風險的動作
沙箱中的程式碼可以使用憑證	代理被誘騙執行的指令碼將代理的金鑰傳送到外部主機，或使用它讀取每位客戶的訂單	將憑證保存在保管庫中、受限的網路、核准有風險的動作
開放的網路讓資料外流	一個 bash 命令將檔案傳送到外部主機	受限的網路、`web_fetch` 網域清單
Claude 採取您未預期的步驟	為了克服障礙，它使用了其可存取的工具或憑證	保護您的 Managed Agents 部署中的設定。離線審查者可以在事後標記該步驟

這些設定能降低風險，但無法消除風險，因此請勿將絕不能離開沙箱的資料放入沙箱中。代理仍可將其被允許讀取的資料放入自己的回覆或工具輸出中。請在核發金鑰的服務端限制金鑰的權限，因為這些設定不會限制它們。這些設定不會保護您的自訂工具、您的 MCP 伺服器或您的自行託管基礎架構。

Managed Agents 在設計上將代理迴圈、工作階段歷史記錄和保管庫機密保存在沙箱之外。如需設計背景，請參閱 Scaling Managed Agents。

部分	執行位置	限制它的因素
代理迴圈	Anthropic 的伺服器	您設定的工具集、權限政策和預算
`bash` 和檔案工具	沙箱。在雲端環境中，每個工作階段都有各自隔離的 Linux 容器	環境網路、工具集和權限政策
`web_search` 和 `web_fetch`	Anthropic 的伺服器	工具本身的網域清單，以及在 `limited` 雲端環境中，環境允許的主機。`web_fetch` 也只會開啟已在工作階段中出現過的 URL
保管庫機密	沙箱之外。MCP 憑證永遠不會進入沙箱。對於環境變數憑證，程式碼看到的是佔位符	對於 MCP 憑證，是其所對應的 MCP 伺服器 URL。對於環境變數憑證，是該憑證允許的主機、其注入位置，以及環境允許的主機
工作階段歷史記錄	Anthropic 的伺服器，直到您刪除該工作階段為止	工作區的 API 金鑰、Claude Console 中的 Developer 和 Admin 角色，以及工作階段刪除
自訂工具	您的應用程式	您的程式碼

在雲端環境中，工作階段之間不會共用檔案系統狀態。附加到多個工作階段的記憶體儲存區會在這些工作階段之間共用。

這些限制無法互相取代。例如，限制環境的主機並不能阻止代理在您允許的主機上使用憑證。