Anthropic åbnede torsdag den 12. november en privat beta af self-hosted Claude Managed Agents. Det betyder, at hele agentplatformen kan køre i jeres egen cloud eller eget datacenter: styringslaget, sandkasserne, adgangsnøglerne og sessionshistorikken. For mange danske virksomheder har den største forhindring for AI-agenter ikke været modellen. Den har været spørgsmålet om, hvor agentens hukommelse, dens nøgler og dens log ligger.
Der er en hage. Selve Claude-modellen kører stadig uden for jeres netværk, og hvert modelkald sender hele samtalen indtil nu til en udbyder, I selv vælger. Vi har læst Anthropics lanceringsartikel og tre dokumentationssider og holdt dem op mod den uafhængige dækning. Herunder gennemgår vi, hvad der faktisk bliver i huset, hvad der stadig forlader det, og hvad kontrollen koster i drift.
Managed Agents er Anthropics API-suite til langvarige, autonome agenter, der bruger værktøjer og husker tidligere sessioner. Den kom først som en hostet tjeneste i april, hvor Anthropic kørte hele infrastrukturen. Vi dækkede både den oprindelige lancering og senere, at agenterne fik vedvarende hukommelse. Bagefter kunne kunder selv hoste sandkassen, altså det isolerede miljø, hvor agentens kode kører. Resten kørte Anthropic, herunder nøglehåndteringen og loggen over, hvad hver agent gjorde.
Problemet var, at agenter er begyndt at tage sig af mere kritisk arbejde. De retter fejlede builds, tester releases, triagerer alarmer og arbejder sig gennem bug-backloggen, og de gør det uden opsyn inde i virksomhedens egne systemer. For agenter med den slags adgang ville nogle teams have hele tjenesten inden for egen perimeter, ikke bare sandkassen. Indtil nu betød det, at man selv måtte bygge platformen. Det er det, der nu er muligt, oplyser sikkerhedsmediet Help Net Security. Adgangen er privat beta, og I skal kontakte jeres Anthropic account-team for at komme med. Der er ingen selvbetjening.
I den selvhostede opsætning driver I tre ting: Managed Agents-serveren, en PostgreSQL-database med al sessionshistorik og de workers, hvor agenterne kører shell- og filværktøjer. Udviklerne bygger agenterne med de samme kerne-API'er som i den hostede tjeneste. Modelkaldene sender I derhen, I vælger: til Claude API direkte, til Amazon Bedrock, Googles Agent Platform eller Microsoft Foundry, eller til jeres egen gateway.
Det, der ikke bliver hjemme, er selve samtalen med modellen. Som The Next Web formulerer det, går hvert spørgsmål til Claude stadig ud til en modeludbyder, og Claude kører ikke inde i jeres netværk. Hvert modelkald bærer hele samtalen indtil nu, inklusive prompts, værktøjsinput og værktøjsresultater. Anthropic skriver selv, at hvis jeres organisation har en aftale om zero data retention, dækker den disse kald på samme måde som ethvert andet Messages API-kald. Serveren forbinder kun til Anthropic, når Claude API er modeludbyder, og Anthropic har ingen fjernadgang til serveren eller dens log.
Anthropic har bygget Managed Agents op om fire sikkerhedsprincipper, der gælder, uanset om Anthropic hoster alt, om I kun hoster sandkassen, eller om I hoster det hele. Begrundelsen er, at man ikke kan regne med, at et menneske tjekker hvert skridt, når en agent arbejder uden opsyn. Som Anthropic skriver i lanceringsartiklen, må grænserne derfor bygges ind i selve systemet.
Det første princip adskiller hjernen fra hænderne. Styringslaget kalder Claude og holder styr på sessionshistorik og hemmeligheder, mens agentens kode kører i en sandkasse. De to er holdt adskilt, så en sandkasse først starter, når et værktøj har brug for den, og historikken ligger uden for den som en hændelseslog. Det andet princip holder nøglerne ude af sandkassen: for MCP-værktøjer og understøttede API-kald tilføjer en proxy uden for sandkassen nøglen til forespørgslen, og selvhostede kunder kan gemme nøglerne i deres egen secret manager. Det tredje begrænser netværksadgang til en liste over tilladte værter, hvor alt andet blokeres. Det fjerde sikrer, at hver session efterlader en fuld log over hvert skridt og hvert værktøjskald, som kan eksporteres via OpenTelemetry til de overvågningsværktøjer, I allerede bruger.
En vigtig detalje: beskyttelsen af nøglerne gælder MCP-værktøjer og understøttede API-kald. Kode, som agenten kører, kan kalde serveren med enhver nøgle, som sandkassen har adgang til. Derfor anbefaler Anthropic, at hver session kører i sin egen sandkasse, og at miljønøglen holdes uden for den. Enhver anden tjeneste, som en agent når ud til, er værd at tjekke, før agenten går i drift.
Selvom historikken bliver hjemme, forlader noget metadata stadig huset, når Claude API er modeludbyder. Hvert modelkald bærer da op til tre headers med id'er for session, agent og miljø. Id'erne indeholder hverken navn eller indhold, men de indkoder tidspunktet for oprettelsen, og de kan ikke slås fra. Med dem kan Anthropic henføre forbrug til en session, en agent eller et miljø. Kald kan desuden bære etiketten cma-server, så Anthropic kan tælle brugen af den selvhostede tjeneste. Under andre udbydere end Claude API sendes de tre headers ikke.
Der er også en adfærd, der er værd at kende, før I dokumenterer et agentforløb. Med Claude API beder serveren som standard om det, Anthropic kalder server-side fallback. Hvis en sikkerhedsklassifikator afviser en forespørgsel, kan en anden og muligvis mindre kapabel Claude-model svare i stedet. Anthropic vælger modellen, og ingen hændelse rapporterer skiftet, men en gennemlæsning af sessionen viser den anvendte models id. Det kan slås fra med en indstilling. Under de andre udbydere ender en afvist forespørgsel i stedet med en afvisning.
Den selvhostede server har samme API som den hostede, men ikke alle funktioner er med. Ifølge Anthropics oversigt over forskellene findes der ingen webhooks, ingen planlagte kørsler, ingen Files API og ingen OAuth-baserede MCP-nøgler. De færdigbyggede skills til docx, pdf, pptx og xlsx er heller ikke med, så dem skal I hente fra skills-biblioteket og uploade selv. Lige så vigtigt: intet flyttes automatisk fra den hostede tjeneste. Agenter, skills, nøgler og memory-stores skal oprettes på ny på jeres egen server.
Til gengæld har den selvhostede udgave funktioner, den hostede ikke har. I kan vælge modeludbyder, logge folk ind via jeres eget OpenID Connect med roller, gemme nøgler i jeres egen secret manager og give agenten et kortlivet identitetstoken, som en MCP-server kan tjekke mod offentlige nøgler, I selv udgiver. Det er funktioner, der giver mening, netop fordi driften nu er jeres.
Kontrollen koster noget, og det er ikke kun tokens. Serveren, databasen og firewall-reglerne er nu jeres at drive, og det samme er arbejdet med at holde dem opdaterede og rigtigt konfigureret. Det skrev Help Net Security klart. I overtager altså den drift, Anthropic før stod for.
Sletning er heller ikke så total, som man kunne tro. Når I sletter en session gennem API'et, fjernes sessionen og dens historik fra jeres database, men serveren beholder sessionens id, og sletningen rammer ikke kopier andre steder: hverken database-backups, eksporterede logs og traces eller det, agenten skrev til et memory-store. Sætter I slet ingen database op, hvilket er standard, ligger alt i hukommelsen og forsvinder ved en genstart. Begge dele er værd at have styr på, før persondata lander i et agentforløb.
Prisen for den selvhostede udgave har Anthropic ikke oplyst. Til sammenligning koster den hostede Managed Agents almindelige platformspriser plus 0,08 dollar pr. aktiv sessionstime, oplyste The Register ved lanceringen i april. Oven i tokens kommer altså jeres egne omkostninger til server, database og workers.
Lanceringen rammer en større diskussion om, hvor AI-data må ligge. The Next Web kobler den til den europæiske debat om afhængighed af udenlandsk AI, hvor ECB-formand Christine Lagarde har advaret om risikoen ved at læne sig op ad udenlandske udbydere. Konkurrenten Mistral har længe solgt såkaldt suveræn AI som svaret, og vi gennemgik selv afvejningen, da Mistral Large 4 blev frigivet med åbne vægte.
OpenAI valgte i september en anden vej og lod virksomheder køre sine agenter inde i Amazons cloud. Forskellen er værd at holde fast i: selvhosting hos Anthropic flytter styringslaget og dataene hjem, men ikke selve modellen. Det bringer jer tættere på at køre en frontier-agent helt inden for egen perimeter, men hele vejen er I ikke. Den, der vil kende risikoen ved at læne sig på en enkelt leverandør, kan læse vores gennemgang af Fireworks-bruddet, der ramte Notion, og af, hvordan OpenAI selv overvåger sine agenter.
For en dansk virksomhed, der har haft agenter liggende stille, fordi hukommelsen og nøglerne skulle ud af huset, flytter det her på en reel barriere. Sessionshistorik og credentials kan nu ligge i jeres egen cloud-konto, gerne i en EU-region, mens kun modelkaldene går ud. Det gør det lettere at få en agent gennem en sikkerheds- og compliancegennemgang. Men det er stadig en behandling af persondata, hver gang en prompt forlader netværket, og I overtager driften.
Det kan I gøre nu:
Self-hosted Managed Agents giver ikke agenterne nye evner. Det, der ændrer sig, er hvor nøglerne, loggen og historikken får lov at ligge. Når en agent først arbejder uden opsyn i jeres kode og systemer, flytter spørgsmålet sig fra, hvad modellen kan, til hvem der holder styr på det. Anthropic lægger nu de dele hjem til kunden og beholder selve modellen ude. Det er præcis den afvejning, I skal tage stilling til: hvor meget kontrol er det værd at drive selv, og hvad er I villige til stadig at sende ud, hver gang agenten spørger Claude om noget?