Claude Managed Agents、self-hosted sandboxes と MCP tunnels を追加

Claude Blog は 2026年5月19日、Claude Managed エージェント に self-hosted sandboxes と MCP tunnels を追加すると発表しました。エージェント orchestration は Anthropic 側に残しながら、tool execution と接続先を企業の管理境界に寄せる更新です。

要点

• Claude Managed エージェント が、顧客管理の サンドボックス で tool execution を実行できるようになる
• private モデル Context Protocol servers へ MCP tunnels で接続できる
• self-hosted sandboxes は public ベータ、MCP tunnels は research プレビュー
• Cloudflare、Daytona、Modal、Vercel などの managed providers も サンドボックス 実行先として示されている

今回のブログ記事で語られていること

Claude Blog の記事は、Claude Managed エージェント が企業のセキュリティ境界内でより使いやすくなる更新を説明しています。これまで managed エージェント を本格導入するときの大きな論点は、エージェント がどこで tool を実行するのか、どのネットワークや秘密情報に到達できるのか、実行環境の隔離を誰が管理するのかでした。今回の更新では、エージェント loop、つまり orchestration、文脈管理、error recovery は Anthropic の infrastructure に残しつつ、tool execution は企業が設定した サンドボックス 環境へ移せるとされています。

self-hosted サンドボックス は、企業が自分の infrastructure で実行することも、Cloudflare、Daytona、Modal、Vercel のような managed provider を使うことも想定されています。これにより、エージェント がファイルを扱ったり、コマンドを実行したり、内部システムに接続したりする場面で、実行環境の network ポリシー、secret handling、logging、リソース 上限 を企業側の統制に合わせやすくなります。AI エージェント を production ワークフロー に入れるうえで、これはかなり重要な方向性です。

MCP tunnels は、Claude Managed エージェント が private MCP servers に接続するための仕組みとして説明されています。MCP は tool や data source を エージェント に接続するための標準化された経路として広がっていますが、企業の本番システム、社内リポジトリ、業務データベース、ticketing システム などは public internet に直接出せないことが多いです。private MCP servers に安全に到達できるようになれば、エージェント が社内 ワークフロー を横断して作業する構成を作りやすくなります。

ただし、これは「エージェント に何でも触らせてよい」という意味ではありません。tool execution を自社 サンドボックス に寄せられるほど、企業側は実行権限、承認フロー、監査ログ、egress 制御、secret injection、データ保持、失敗時の ロールバック を設計する責任が増えます。Claude Managed エージェント の今回の更新は、enterprise エージェント を本番運用するための責任分界をより現実的にするものとして読むべきです。

対象になりそうなチーム

• Claude Managed エージェント を社内システムや開発 ワークフロー に接続したい platform / AI engineering team
• MCP servers、tool execution、サンドボックス isolation を設計する セキュリティ / infrastructure team
• エージェント による長時間タスク、コード操作、業務アクションを統制したい operations team

実務で確認したいポイント

self-hosted サンドボックス を使う場合、network egress、secret mount、filesystem persistence、監査ログ、リソース クォータ、provider 障害時の扱いを先に決める必要があります。MCP tunnels では、どの MCP server にどの エージェント が接続できるか、tool call を誰が承認するか、誤操作時にどう止めるかを設計してください。

結局、この発表をどう見るべきか

Claude Managed エージェント の更新は、企業が エージェント を本番業務に入れるときの最大の壁である「実行環境と接続先の統制」に踏み込んだものです。エージェント の賢さだけでなく、どこで動き、何に触れ、どう監査されるかを設計する段階に入ったと見てよさそうです。