Anthropic separa cérebro e mãos dos agentes para blindar credenciais na Claude Platform

Em episódio do podcast Latent Space gravado em outubro de 2026, executivas da Anthropic detalham como a Claude Platform separa o raciocínio de um agente da execução de código, um padrão que reduz latência e isola credenciais.

No episódio do podcast Latent Space publicado em 27 de outubro de 2026, Katelyn Lesse (engenharia) e Angela Jiang (produto), ambas da Anthropic, detalharam um padrão de arquitetura que a empresa usa para construir seus próprios produtos de agente: separar o "cérebro" de um agente das suas "mãos". A conversa, gravada no dia seguinte ao lançamento do Opus 5.5, usa esse modelo como pano de fundo, mas o assunto central é outro: como a Claude Platform (a camada de API e infraestrutura que sustenta Claude Code, os copilots da Anthropic e os produtos de clientes) é construída para aguentar agentes de longa duração sem comprometer segurança nem latência.

O conceito vem de um recurso chamado Managed Agents, descrito no texto técnico da Anthropic "Scaling Managed Agents: Decoupling the brain from the hands", citado no episódio. A ideia central: o histórico de sessão e o harness (o "cérebro", que decide o que fazer) ficam separados do sandbox que executa código (as "mãos"). Um sandbox que trava não precisa derrubar a sessão inteira do agente.

Por que separar harness de sandbox

Segundo as convidadas, a abordagem anterior colocava o agente de coding inteiro dentro de um sandbox, atrás de uma API. Isso significava que, para responder à primeira mensagem, era preciso primeiro inicializar o ambiente de execução e só depois o agente propriamente dito. Se o sandbox caísse, o agente caía junto, mesmo que o problema fosse só na execução de um comando.

Com o cérebro e as mãos desacoplados, o harness persiste como um processo independente. O sandbox é criado sob demanda, quando há de fato código para rodar, e pode ser recriado sem que a sessão perca contexto. Na prática, isso ataca dois problemas ao mesmo tempo: latência (não é preciso subir um ambiente de execução completo só para o agente decidir o próximo passo) e resiliência (falha de infraestrutura vira evento isolado, não incidente de produto).

O ganho de segurança é um efeito colateral da arquitetura

A separação também resolve um problema de superfície de ataque que normalmente exige camadas extras de proteção. Se o código gerado por um agente roda num sandbox que nunca recebe uma credencial de serviço, não existe credencial ali para esse código vazar, mesmo que o agente seja comprometido ou o código gerado seja malicioso.

No desenho discutido no episódio, credenciais ficam fora do sandbox e são anexadas via proxy, com controles sobre para onde o tráfego do sandbox pode ir. A Anthropic documenta esse conjunto mais amplo de controles de isolamento e rede no material "How Anthropic contains Claude across products", também citado como referência no show notes do episódio.

Para quem projeta runtimes de agente, o padrão sugere um checklist simples antes de desenhar a próxima versão de um harness:

• O que precisa sobreviver a uma falha de execução, e o que pode ser descartável?
• Que parte do sistema executa código não confiável, vindo do próprio modelo ou de input externo?
• Quais segredos realmente precisam existir no mesmo processo que roda esse código?

Nota da redação: o código desta seção não foi executado em ambiente real. Valide antes de usar em produção.

Uma forma simples de visualizar o desenho (ilustrativo, não é o código real da Anthropic):

# harness: processo de longa duração, guarda estado e decide ações
# sandbox: efêmero, sem credenciais, só recebe comandos a executar

harness.on_tool_call(acao):
    sandbox = pool.obter_ou_criar(sessao_id)
    resultado = sandbox.executar(acao, credenciais=None)
    harness.registrar(resultado)  # sobrevive mesmo se sandbox morrer depois

Memória como primitiva, não como feature isolada

Um dos usos mais interessantes do Managed Agents, segundo o episódio, é um recurso interno que a dupla chama de "dreaming": um agente inspeciona o trabalho anterior de outro agente e escreve memórias de volta para uso futuro. Não é um módulo de memória separado, é simplesmente outro agente operando sobre as mesmas primitivas de sessão e sandbox.

Esse detalhe importa mais do que parece. Em vez de construir uma feature de memória como caso especial, a Anthropic trata memória, verificação e paralelismo de agentes como composições da mesma infraestrutura básica. As convidadas descrevem a estratégia de produto como manter o harness base relativamente simples e deixar que desenvolvedores externos componham verificadores, agentes paralelos e outras estratégias por cima dele, em vez de embutir tudo isso na plataforma.

Vale uma ressalva: as ideias mencionadas sobre capacidades futuras da plataforma são planos discutidos em entrevista, não recursos já lançados. O próprio roteiro de prioridades mudou ao longo do ano. A dupla relata que mais atenção da equipe migrou para segurança à medida que lançamentos de modelo ficaram mais difíceis de avaliar, o que empurrou memória e aprendizado para um horizonte mais distante do que o inicialmente planejado.

O lançamento do Opus 5.5 também foi um lançamento de API

A conversa amarra a arquitetura de agentes a uma mudança concreta feita junto do lançamento do Opus 5.5 (que, segundo o episódio, já vinha sendo tratado havia cerca de um mês como o modelo mais capaz disponível no mercado). Além de cortes de preço e redução de verbosidade, a Anthropic endureceu a proteção contra extração de chain of thought para fins de destilação, preservando blocos de raciocínio entre turnos de forma mais rígida.

Isso é relevante para quem integra a API diretamente, porque o mesmo ajuste que dificulta destilação por terceiros pode quebrar harnesses que dependiam do comportamento anterior de reutilização de tokens de raciocínio. No episódio, a decisão é descrita como um equilíbrio difícil entre experiência de desenvolvedor e proteção contra extração em massa, motivada pela divulgação responsável, por pesquisadores externos, da técnica descrita no paper "Stealing Reasoning Traces from Proprietary LLMs↳LLMs48 conteúdosConsiderações básicas de hardware para modelos de linguagem em código aberto: Memória, Desempenho e ViabilidadeMarketing Tech · out 2025Modelos de linguagem sob ataque: o lado obscuro da IA generativaDevSecOps · mai 2025Criando um LLM – modelo de linguagem de grande escala – do zero com TransformersAI · abr 2024Ver tudo em AI →", citado nominalmente na conversa (ainda que sem menção aos nomes dos autores).

O que fica de fora

O episódio também cita, sem detalhar, uma reescrita da Messages API em Rust↳Rust7 conteúdosDesmistificando Rust: a linguagem segura e rápida que você precisa conhecerDev (Back & Front) · out 2024Como criar seu primeiro Programa em Rust com Solana PlaygroundDev (Back & Front) · mai 2026Rust no ranking: a segurança de memória perdeu a guerra corporativa?Marketing Tech · abr 2026Ver tudo em Dev (Back & Front) → como parte do esforço de escalar a Claude Platform sob restrição de CPU, tema tratado por volta da metade da conversa (marcação 56:05 de um total de 104 minutos), segundo as marcações de tempo do podcast. Não há, na fonte, números de latência ou throughput associados a essa migração, então vale tratar como direção de engenharia mencionada, não como resultado medido.

O maior ponto cego para quem só olha o anúncio do Opus 5.5 é justamente esse: a parte visível do lançamento é modelo e preço, mas a parte que sustenta produtos como Claude Code é a decisão de arquitetura sobre onde cada parte de um agente roda e quais segredos ela carrega. Para equipes construindo agentes de produção, a lição prática do episódio não é copiar o Managed Agents da Anthropic, é fazer as mesmas três perguntas sobre o próprio runtime antes que um sandbox comprometido vire um incidente de credencial.

Fonte: Latent Space