---
title: 安全模型
url: https://platform.claude.com/docs/zh-TW/managed-agents/self-hosted-sandboxes-security
description: 自行託管沙箱環境的共同責任模型。
featureMetadata:
  topic:
    title: Managed Agents
    url: https://platform.claude.com/docs/en/managed-agents/overview
  status: beta
  betaHeader: managed-agents-2026-04-01
---

Anthropic 負責保護所有環境的控制平面（control plane）：工作階段與工作佇列的完整性、多租戶隔離，以及代理上下文最小化。當您自行託管時，以下責任由您承擔。

## 您負責的部分

* **沙箱映像檔品質與執行階段強化。** Anthropic 不會檢查或驗證您的沙箱映像檔。請遵循最佳實務，例如移除不必要的 Linux capabilities、以非 root 使用者身分執行，以及使用唯讀的根檔案系統。
* **網路出口（egress）控制。** 您沙箱的網路存取權限由您的 VPC 與防火牆規則決定。若沒有出口限制，遭入侵的工具執行可能連線至任意外部主機。請將對外流量限制為僅允許您的工具所需的端點。
* **服務金鑰的儲存與輪替。** 環境服務金鑰（`ANTHROPIC_ENVIRONMENT_KEY`）授權輪詢您環境的工作佇列，並將結果提交回工作階段。請將其儲存於機密管理工具（secrets manager）中，而非環境檔案或沙箱映像檔中。若您懷疑金鑰外洩，請立即輪替。
* **隔離不受信任的工作負載。** 環境服務金鑰的範圍限定於單一環境的工作佇列。若您在沙箱內執行不受信任的程式碼，請考慮為每個信任邊界佈建獨立的工作區與環境。如此可將每個金鑰限制於單一使用者的工作階段，而非共用的資源池。
* **每個工作階段的憑證。** 您的 worker 所認領的每個工作項目都可以攜帶一個每個工作階段專屬的 `secret` (csharp, go: `Secret`)，worker 會使用它來取代環境服務金鑰。存取[記憶體儲存區](https://platform.claude.com/docs/zh-TW/managed-agents/memory)需要 `secret` (csharp, go: `Secret`)：記憶體儲存區端點會拒絕環境金鑰（請參閱[轉送工作項目的密鑰](https://platform.claude.com/docs/zh-TW/managed-agents/self-hosted-sandboxes-workers#forward-the-work-items-secret)）。請僅將 `secret` (csharp, go: `Secret`) 傳入服務該工作階段的沙箱，不要將其放入映像檔和共用磁碟區，且絕不要將其記錄到日誌中。
* **工具執行的影響範圍（blast radius）。** 工具在您的沙箱內以您的程序所擁有的任何權限執行。請對程序使用者套用最小權限原則，並僅掛載您的工具所需的目錄。
* **日誌保留與工作階段內容。** 對話內容與工具輸出會經過您的 worker 並保留在您的環境中。您有責任依據您自身的政策保留、遮蔽或刪除這些資料。一旦工作階段內容送達，Anthropic 無法得知您的 worker 如何處理這些內容。
* **記憶體儲存區內容。** [記憶體儲存區](https://platform.claude.com/docs/zh-TW/managed-agents/memory)仍由 Anthropic 託管，包括其版本歷史。當工作階段附加一個記憶體儲存區時，worker 會在工作階段期間於您沙箱中的 `/mnt/memory/` 下保留一份工作副本，並將變更同步回去。worker 會在工作階段結束時刪除該副本，但若 worker 未執行其清理程序（teardown）即退出，則會將副本遺留下來。清理遺留的副本、該路徑的權限設定，以及共用檔案系統的工作階段之間的隔離，皆為您的責任。
* **唯讀記憶體儲存區。** 以 `read_only` 存取權限附加的儲存區可防止上傳，但無法防止本機修改。worker 的 `write` 和 `edit` 工具會拒絕寫入其目錄下，該處的任何內容都不會同步回去，且記憶體儲存區端點會拒絕使用工作階段的 `secret` (csharp, go: `Secret`) 對其進行的寫入。沙箱中的其他程序仍可變更本機副本：代理透過 `bash` 工具執行的命令，以及您從沙箱提供的[自訂工具](https://platform.claude.com/docs/zh-TW/managed-agents/self-hosted-sandboxes-custom-tools)或 MCP 伺服器，這些都以 worker 的權限執行。該工作階段中後續的工具呼叫會讀取已變更的副本，直到該記憶在儲存區中下次變更為止。若代理連對此類儲存區的本機檢視都不得更改，請為該代理停用 `bash` 工具，且不要提供任何會寫入沙箱檔案系統的自訂工具。

## Anthropic 無法為您做到的事

* **得知您的金鑰已外洩。** Anthropic 可以偵測異常的使用模式，但無法得知您的金鑰已遭入侵。若您懷疑 `ANTHROPIC_ENVIRONMENT_KEY` 外洩，請立即撤銷並產生替代金鑰。撤銷會在每次請求時進行驗證，因此會在 worker 的下一次呼叫時生效。
* **驗證您的 worker 建置。** Anthropic 不會檢查您的沙箱映像檔或執行階段。您映像檔中的供應鏈入侵無法從控制平面偵測到。
* **隔離您沙箱內的工具。** Anthropic 的安全邊界止於沙箱。您如何在該邊界內將個別工具執行彼此隔離，完全是您的責任。
* **在您的環境中強制執行資料保留。** 一旦工作階段內容到達您的 worker，它便不在 Anthropic 的資料生命週期控制範圍內。