Autonome Software-Agenten greifen zunehmend tief in geschäftskritische IT-Strukturen ein: Sie beheben Fehler in Software-Builds, analysieren interne Sicherheitswarnungen und durchforsten firmeninterne Code-Repositories. Um den strengen Compliance- und Datenschutzauflagen in regulierten Branchen gerecht zu werden, öffnet Anthropic seine Agenten-Plattform nun für den vollständig autarken Betrieb: Ab sofort steht Self-hosted Claude Managed Agents in einer geschlossenen Vorabversion (Private Beta) für Unternehmenskunden bereit. Damit lässt sich die gesamte Steuerungs- und Ausführungsinfrastruktur in die eigene Cloud-Umgebung oder das eigene Rechenzentrum verlagern.
Von der Cloud-Plattform zur vollständigen Eigenregie
Als Anthropic seinen Agenten-Dienst im Frühjahr vorstellte (siehe Managed Agents: Der Infrastruktur-Boost für autonome KI), lief die Orchestrierung zwingend über die Cloud-Server des Anbieters. Zwar führte das Unternehmen später selbst gehostete Sandboxes ein, bei denen die eigentliche Programmausführung in Kundenumgebungen stattfand, doch der zentrale Steuerungs-Server (Control Plane) samt Sitzungshistorie verblieb bei Anthropic.
Mit der neuen Self-Hosted-Variante entfällt diese Abhängigkeit vollständig. Unternehmen betreiben nun sämtliche Komponenten im eigenen Sicherheitsbereich: den Orchestrierungs-Server (cma-server), die relationale Datenbank für Sitzungsprotokolle, die Sandbox-Container für Terminal- und Dateibefehle sowie die secrets-Verwaltung. Entwickler können weiterhin dieselben Programmierschnittstellen (APIs) und das Kommandozeilenwerkzeug ant nutzen, richten ihre Anfragen jedoch an den internen Server statt an Anthropics Cloud.
Architektur: Striktes Vier-Augen-Prinzip zwischen Gehirn und Händen
Um unkontrollierte Seiteneffekte autonomer Systeme zu verhindern, basiert die Architektur laut Anthropic auf vier zentralen Sicherheitsprinzipien:
- Trennung von Denkprozess und Ausführung: Der Steuerungsdienst (
cma-server) fungiert als Gehirn, das die Konversation führt und das Sprachmodell ansteuert. Die Werkzeuge laufen isoliert in separaten Worker-Containern (den Händen). Sandboxes werden erst gestartet, wenn ein Werkzeug benötigt wird. Bricht eine Ausführungsumgebung ab, bleibt die Sitzungshistorie auf dem Server unberührt. - Geheimnisse verbleiben außerhalb der Sandbox: API-Schlüssel, Passwörter und Datenbank-Tokens gelangen zu keinem Zeitpunkt in die Ausführungsumgebung. Wenn der Agent über Werkzeuge wie das Model Context Protocol (MCP) externe Schnittstellen anspricht, injiziert ein externer Proxy die nötigen Zugangsdaten außerhalb der Sandbox. Zudem können bestehende Secrets-Manager des Unternehmens angebunden werden.
- Regulierte Netzwerk-Pfade: Der ausgehende Datenverkehr jeder Sandbox lässt sich über strikte Host-Listen begrenzen. Für einen Agenten, der Kompilierfehler behebt, lässt sich der Zugriff beispielsweise exklusiv auf interne Git-Server und Paket-Repositories beschränken.
- Lückenlose Nachvollziehbarkeit: Sämtliche Aktionen, Befehle und Ereignisse werden persistent in einer PostgreSQL-Datenbank (ab Version 16) gespeichert und lassen sich über OpenTelemetry in bestehende Monitoring- und SIEM-Systeme der Unternehmens-IT einspeisen.
Freie Wahl beim KI-Modell und Zero Data Retention
Besondere Flexibilität verspricht Anthropic bei der Anbindung der Sprachmodelle: Der interne cma-server verarbeitet die Inferenz-Aufrufe nicht zwingend über Anthropics eigene Schnittstelle. Unternehmen können konfigurieren, ob die Anfragen an Anthropic, über Cloud-Plattformen wie Amazon Bedrock, Google Cloud oder Microsoft Foundry oder über ein firmeninternes Modell-Gateway geleitet werden.
Besteht mit dem Anbieter eine Vereinbarung über den Ausschluss von Datenspeicherung (Zero Data Retention, ZDR), greift diese Schutzmaßnahme auch für sämtliche Agenten-Prompts. Für den operativen Betrieb liefert Anthropic neben Docker-Compose-Vorlagen auch ein Helm-Chart (cma-sandboxes) für Kubernetes-Cluster aus. Die Administration erfolgt über das CLI-Tool cma-server-admin oder eine lokale Web-Konsole, die an gängige Identitätsanbieter (SSO/IdP) angebunden werden kann.
🎯 Was das für die Praxis bedeutet
1. Compliance-Hürden für Entwicklungs-Agenten fallen: Banken, Versicherungen und Unternehmen mit geschütztem geistigem Eigentum können autonome Programmier- und Wartungs-Agenten einsetzen, ohne internen Quellcode oder sensible Protokolle auf fremde Server auszulagern.
2. Geringere Angriffsfläche durch Outbound-Architektur: Die Worker in den internen Sandboxes bauen ausschließlich ausgehende Verbindungen zur internen Control-Plane auf. Es müssen keine eingehenden Ports im Unternehmensnetzwerk geöffnet werden.
3. Höherer operativer Betriebsaufwand: Während der Cloud-Dienst wartungsfrei läuft, verlangt die Self-Hosted-Variante die kontinuierliche Pflege von Kubernetes-Clustern, PostgreSQL-Instanzen und Container-Sicherheitsupdates durch das interne Plattform-Team.
