--- title: Modelo de segurança url: https://platform.claude.com/docs/pt-BR/managed-agents/self-hosted-sandboxes-security description: Modelo de responsabilidade compartilhada para ambientes de sandbox auto-hospedados. featureMetadata: topic: title: Managed Agents url: https://platform.claude.com/docs/en/managed-agents/overview status: beta betaHeader: managed-agents-2026-04-01 --- A Anthropic protege o plano de controle em todos os ambientes: integridade de sessões e filas de trabalho, isolamento multilocatário e minimização do contexto do agente. Quando você faz auto-hospedagem, as seguintes responsabilidades ficam a seu cargo. ## O que é de sua responsabilidade * **Qualidade da imagem do sandbox e hardening do runtime.** A Anthropic não inspeciona nem verifica sua imagem de sandbox. Siga boas práticas, como remover capabilities do Linux desnecessárias, executar como usuário não root e usar um sistema de arquivos raiz somente leitura. * **Controles de egress de rede.** O acesso à rede do seu sandbox é determinado pelas regras da sua VPC e do seu firewall. Sem restrições de egress (tráfego de saída), uma execução de ferramenta comprometida pode alcançar hosts externos arbitrários. Restrinja o tráfego de saída apenas aos endpoints que suas ferramentas exigem. * **Armazenamento e rotação da chave de serviço.** A chave de serviço do ambiente (`ANTHROPIC_ENVIRONMENT_KEY`) autoriza a consulta (polling) da fila de trabalho do seu ambiente e o envio de resultados de volta às sessões. Armazene-a em um gerenciador de segredos, não em arquivos de ambiente ou imagens de sandbox. Faça a rotação imediatamente se suspeitar de exposição. * **Isolamento de cargas de trabalho não confiáveis.** A chave de serviço do ambiente tem escopo restrito à fila de trabalho de um único ambiente. Se você executa código não confiável dentro do seu sandbox, considere provisionar um workspace e um ambiente separados para cada fronteira de confiança. Isso limita cada chave às sessões de um único usuário, em vez de um pool compartilhado. * **Credenciais por sessão.** Cada item de trabalho que seu worker reivindica pode carregar um `secret` (csharp, go: `Secret`) por sessão, que o worker usa no lugar da chave de serviço do ambiente. O acesso aos [memory stores](https://platform.claude.com/docs/pt-BR/managed-agents/memory) (armazenamentos de memória) exige o `secret` (csharp, go: `Secret`): os endpoints de memory store rejeitam a chave do ambiente (consulte [Encaminhar o segredo do item de trabalho](https://platform.claude.com/docs/pt-BR/managed-agents/self-hosted-sandboxes-workers#forward-the-work-items-secret)). Passe o `secret` (csharp, go: `Secret`) apenas para o sandbox que atende àquela sessão, mantenha-o fora de imagens e volumes compartilhados e nunca o registre em logs. * **Raio de impacto da execução de ferramentas.** As ferramentas são executadas dentro do seu sandbox com as permissões que seu processo tiver. Aplique o princípio do menor privilégio ao usuário do processo e monte apenas os diretórios que suas ferramentas exigem. * **Retenção de logs e conteúdo de sessão.** O conteúdo das conversas e as saídas das ferramentas passam pelo seu worker e permanecem no seu ambiente. Você é responsável por reter, redigir ou excluir esses dados em conformidade com suas próprias políticas. A Anthropic não tem visibilidade sobre o que seu worker faz com o conteúdo da sessão depois de entregue. * **Conteúdo dos memory stores.** Os [memory stores](https://platform.claude.com/docs/pt-BR/managed-agents/memory) permanecem hospedados pela Anthropic, incluindo seu histórico de versões. Quando uma sessão anexa um deles, o worker mantém uma cópia de trabalho em `/mnt/memory/` no seu sandbox durante a sessão e sincroniza as alterações de volta. O worker exclui essa cópia quando a sessão termina, mas um worker que encerra sem executar seu teardown a deixa para trás. A limpeza de cópias remanescentes, as permissões nesse caminho e o isolamento entre sessões que compartilham um sistema de arquivos são de sua responsabilidade. * **Memory stores somente leitura.** Um store anexado com acesso `read_only` é protegido contra upload, não contra modificação local. As ferramentas `write` e `edit` do worker se recusam a gravar em seu diretório, nada ali é sincronizado de volta, e os endpoints de memory store rejeitam gravações nele feitas com o `secret` (csharp, go: `Secret`) da sessão. Outros processos no sandbox ainda podem alterar a cópia local: comandos que o agente executa por meio da ferramenta `bash`, e [ferramentas personalizadas](https://platform.claude.com/docs/pt-BR/managed-agents/self-hosted-sandboxes-custom-tools) ou servidores MCP que você disponibiliza a partir do sandbox, que são executados com as permissões do worker. Chamadas de ferramentas posteriores nessa sessão leem a cópia alterada até que essa memória mude novamente no store. Se o agente não deve ser capaz de alterar nem mesmo sua visão local de tal store, desative a ferramenta `bash` para esse agente e não lhe forneça nenhuma ferramenta personalizada que grave no sistema de arquivos do sandbox. ## O que a Anthropic não pode fazer por você * **Saber que sua chave vazou.** A Anthropic pode detectar padrões de uso anômalos, mas não pode saber que sua chave foi comprometida. Se você suspeitar que a `ANTHROPIC_ENVIRONMENT_KEY` vazou, revogue-a e gere uma substituta imediatamente. A revogação é validada em cada requisição, portanto entra em vigor na próxima chamada do worker. * **Verificar o build do seu worker.** A Anthropic não inspeciona sua imagem de sandbox nem seu runtime. Um comprometimento da cadeia de suprimentos na sua imagem não é detectável a partir do plano de controle. * **Isolar ferramentas dentro do seu sandbox.** A fronteira de segurança da Anthropic termina no sandbox. Como você isola execuções individuais de ferramentas umas das outras dentro dessa fronteira é inteiramente de sua responsabilidade. * **Impor retenção de dados no seu ambiente.** Uma vez que o conteúdo da sessão chega ao seu worker, ele está fora dos controles de ciclo de vida de dados da Anthropic.