Claude Managed Agents 자체 호스팅: 데이터 이동·격리·이전 경계 점검

자체 운영하는 에이전트 서비스와 외부 추론 제공자의 경계를 표현한 생성형 개념 이미지다. 실제 제품 구성도는 아니다.

에이전트가 사내 파일을 읽어야 한다면 실행 환경을 내부에 두는 것부터 생각하게 된다. 여기에 세션 이력까지 직접 보관해야 한다면, 도구 실행 위치와 에이전트 서비스의 저장 위치를 함께 결정해야 한다.

Anthropic은 November 12, 2026 Claude Managed Agents 자체 호스팅을 발표했다. 기존 자체 호스팅 샌드박스에서 더 나아가, API와 에이전트 실행 루프, 세션 저장을 담당하는 서비스도 직접 운영하는 방식이다. 다운로드 접근은 Anthropic 담당 팀에 요청하도록 안내되어 있다. 공식 릴리스 노트

도입 판단에서 중요한 것은 설치 명령보다 어떤 데이터가 어디에 남고, 누가 어떤 도구를 실행할 수 있는가다. 공식 문서의 지원 범위와 이전 시 확인할 항목을 정리한다.

1. 자체 호스팅하는 세 부분을 구분한다

구성은 다음처럼 나뉜다.

서버: API 요청을 받고 에이전트 루프를 실행하며 에이전트·세션·이력을 저장한다.

샌드박스와 워커: 셸 명령과 파일 도구를 실행한다. 서버 자체가 에이전트의 셸 명령을 실행하지는 않는다.

추론 제공자: 모델 호출을 처리한다. 기본값은 Claude API이며, 지원되는 다른 제공자나 자체 모델 게이트웨이로 지정할 수 있다.

이 기능은 Claude 모델 가중치를 내려받아 사내 GPU에서 실행한다는 발표가 아니다. 직접 운영하는 범위는 서비스와 샌드박스이며, 모델 호출 경로는 별도로 선택한다. 도구 실행만 내부로 옮기면 충분한 팀은 기존 자체 호스팅 샌드박스와 비교해 볼 수 있다. 자체 호스팅 개요

기존 샌드박스 방식에서는 Anthropic이 에이전트를 계속 운영하고 도구 입출력도 그 서비스로 전달된다. 이름이 비슷하므로 설계 문서에는 “자체 호스팅”만 적기보다, 실행·저장·추론의 담당 위치를 각각 적는 것이 좋다. 자체 호스팅 샌드박스

2. 내부 저장과 외부 전송을 따로 검토한다

모델을 호출할 때는 프롬프트뿐 아니라 도구 입력과 결과를 포함한 대화가 추론 제공자로 전달된다. 사내 파일 전체를 직접 업로드하지 않았더라도, 도구가 읽어서 반환한 내용이 모델 입력에 들어갈 수 있다. 데이터 이동 범위

따라서 다음 질문으로 검토를 시작하는 편이 낫다.

원본 데이터 중 모델에 전달해도 되는 필드는 무엇인가.

도구 결과에서 비밀정보·불필요한 개인정보를 제거하는 책임은 어디에 있는가.

추론 제공자와 지역, 사용 모델에 적용되는 데이터 처리 조건을 확인했는가.

서버의 통신 경로와 워커의 통신 경로를 각각 검사했는가.

관측 도구에 남긴 로그·트레이스에도 같은 데이터 기준을 적용했는가.

공식 문서는 서버가 연결하는 목적지와 워커의 네트워크 접근 범위를 구분한다. 워커는 자신이 실행되는 컨테이너·VM에 허용된 네트워크를 사용한다. 서버 쪽 목적지를 제한했다는 이유만으로 워커의 외부 연결까지 제한됐다고 판단하면 안 된다.

이 부분의 완료 기준은 구성 파일 검토와 실제 통신 관측을 함께 두는 것이다. 민감한 운영 데이터 대신 합성 문자열을 도구 결과에 넣고, 승인된 경로에서 어떻게 전달·기록되는지 확인하는 테스트부터 시작할 수 있다.

3. environment 이름으로 고객을 격리하지 않는다

공식 문서는 하나의 deployment가 하나의 테넌트와 신뢰 수준을 담당한다고 설명한다. 같은 deployment 안의 environment는 신뢰 경계를 분리하지 않는다. 서버 API 키는 모든 environment에 접근하며, 역할이 있는 호출자도 각 environment에서 세션을 실행할 수 있다. 고객별 또는 신뢰 수준별 분리가 필요하면 데이터베이스·키·워커를 포함한 별도 deployment를 구성하도록 안내한다. 멀티테넌시 범위

예를 들어 사내 운영 시스템에 접근하는 작업과 외부 사용자가 제출한 코드를 실행하는 작업을 단순히 environment 두 개로만 나누는 설계는 다시 검토해야 한다. 이름표 분리 외에 데이터·실행 권한·네트워크의 실제 분리가 필요하다.

워커 자체가 셸을 격리해 주는 것도 아니다. 셸은 워커 프로세스의 권한으로 실행된다. 격리는 워커를 담는 컨테이너나 VM이 제공하므로, 보호해야 할 파일과 권한이 있는 일반 서버에서 그대로 실행하지 않도록 설계한다. 워커 격리 책임

4. API 주소만 바꾸는 이전은 피한다

공식 차이점 문서에는 이전 전에 시험할 만한 동작이 명시되어 있다.

기존 데이터: 호스팅 서비스의 세션 이력 등이 자동으로 복사되지 않는다.

일반 Claude API: 자체 서버는 Messages API와 Models API를 제공하지 않는다. 해당 경로 호출은 404가 된다.

웹훅: 자체 서버는 웹훅을 보내지 않는다. 웹훅으로 시작하던 워커는 이벤트 스트림·폴링 방식 등으로 설계를 바꿔야 한다.

URL 이미지·문서: URL 입력이 받아들여져도 모델이 내용을 보지 못하고 오류도 없을 수 있다. 문서가 안내한 base64 또는 문서용 text 경로를 사용한다.

큰 도구 결과: 지나치게 큰 커스텀 도구 결과는 요청이 200으로 끝난 뒤 세션 오류를 일으킬 수 있다.

호스팅 서비스와의 차이

이전 테스트에는 “요청이 성공했는가”와 “필요한 입력이 실제로 사용됐는가”를 분리해서 넣어야 한다. 이미지에 합성 식별자를 넣고 응답에서 확인하거나, 작은 도구 결과와 큰 결과를 나누어 이벤트 종료 상태를 검사하는 식이다. 위 동작을 실제 배포에서 확인하기 전까지는 기존 애플리케이션의 호환성을 완료로 표시하지 않는다.

자체 서버와 모델 API를 함께 쓰는 코드라면 클라이언트 설정도 분리한다. 하나의 base URL을 전역으로 덮어쓰는 방식은 세션 API와 추론 API의 목적지를 혼동시키기 쉽다.

5. Kubernetes 배포는 네트워크 전제를 확인한다

공식 Kubernetes 가이드는 Kubernetes 1.30 이상, PostgreSQL 16 이상, Agent Sandbox 컨트롤러, gVisor 노드와 NetworkPolicy를 집행하는 네트워크 구성을 전제로 한다. Helm 차트가 설치됐다는 사실만으로 이 전제가 충족되는 것은 아니다. Kubernetes 배포 가이드

특히 가이드의 publicInternet 구성은 샌드박스의 공개 인터넷 접근을 허용한다. 클러스터 API도 공개 주소를 가질 수 있으므로, 공식 절차는 그 주소를 차단 대상에 넣도록 안내한다. 사설 IP 대역만 막는 것으로 충분한지 확인해야 하는 이유다.

운영 도입 전에는 다음을 배포 승인 항목으로 남길 수 있다.