Anthropic separa o modelo do agente para rodar Claude em produção sem quebrar

No episódio de 27 de outubro de 2026 do podcast Latent Space, as engenheiras Katelyn Lesse e Angela Jiang, ambas da Anthropic, detalharam durante mais de 100 minutos a engenharia por trás do Claude Platform. A conversa não é sobre o lançamento do Opus 5.5 em si, mas sobre a infraestrutura que permite rodar esse modelo (e os agentes construídos sobre ele) em produção sem que um agente autônomo tome uma ação irreversível por conta própria.

O fio condutor da entrevista, segundo as notas do episódio, é uma separação conceitual que a Anthropic chama de "brain" e "hands": o modelo (o cérebro) decide o que fazer, mas não executa nada diretamente. Quem executa é um harness, um sandbox e um conjunto de controles de rede e credenciais, as mãos. Para quem constrói agentes hoje com function calling solto ou MCP↳MCP7 conteúdosArquitetura de Sistemas Cognitivos: Integração de RAG, MCP e LLMs no Ecossistema .NETDev (Back & Front) · abr 2026MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025Agentes de IA com LLMs de Código Aberto: Integração Prática com o Model Context Protocol (MCP)AI · ago 2025Ver tudo em AI → sem isolamento, essa distinção é o tipo de lição que só aparece depois que algo quebra em produção.

Por que separar o cérebro das mãos

A lógica é simples de enunciar e difícil de implementar: se o modelo é só uma função que recebe contexto e devolve uma decisão, ele pode ser atualizado, testado e até trocado sem reescrever a camada que efetivamente mexe em arquivos, chama APIs externas ou movimenta dinheiro. O harness, por sua vez, é tratado como peça de infraestrutura separada, com seu próprio ciclo de vida.

As notas do episódio linkam o post "Scaling Managed Agents" da própria Anthropic, descrito como o material que desacopla "o cérebro, o harness e o sandbox". Isso bate com um padrão que já aparece em frameworks de agentes open source↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) →: separar o loop de raciocínio da camada de ferramentas não é exclusividade da Anthropic, mas a empresa está formalizando isso como arquitetura de produto, não só como boa prática de código.

Em resumo: o modelo nunca tem acesso direto a credenciais, rede ou sistema de arquivos. Toda ação passa por uma camada intermediária que pode logar, limitar e, principalmente, revogar.

Como a Anthropic contém o Claude

Outro material citado nas notas do episódio, "How Anthropic contains Claude", descreve os mecanismos de isolamento: sandboxing de execução, proteção de credenciais e controles de rede. Pelos timestamps da conversa (1:05:25 "Protecting credentials and sandboxes"), esse é um dos blocos mais técnicos da entrevista.

Na prática, isso significa que um agente com acesso a um token de API não guarda esse token em um lugar que o próprio modelo possa ler e vazar num output. A separação física entre o que o modelo "sabe" (o contexto que recebe) e o que ele "pode fazer" (as credenciais que o harness detém e usa em nome dele) é o que impede que um prompt injection vire um incidente de segurança com custo real.

Para quem já tentou dar a um agente acesso a um banco Postgres↳PostgreSQL11 conteúdosPostgreSQL via SSL com GolangData · abr 20195 itens legais sobre data types do PostgreSQLData · mar 20195 serviços gratuitos na cloud para bancos de dados PostgresData · fev 2025Ver tudo em Data → via MCP, esse é exatamente o ponto de fricção que normalmente se resolve mal: ou o agente tem credencial de leitura/escrita direta (risco alto), ou cada ação passa por uma function chamada pelo host, nunca pelo modelo (mais seguro, mais lento de prototipar). A Anthropic está dizendo, com essa separação brain/hands, que optou estruturalmente pela segunda opção em escala de plataforma.

Agentes que sobrevivem à janela de contexto

O terceiro link das notas do episódio, "Effective harnesses for long-running agents", trata de um problema que qualquer dev que já construiu um agente de execução longa conhece: como manter progresso quando o contexto do modelo é finito e a tarefa não é. Os timestamps da conversa (44:25 "Memory, dreaming, and agent harnesses" e 48:25 "Evaluating agents") sugerem que a Anthropic trata isso como problema de harness, não de modelo maior.

A ideia, pelo que indicam os títulos dos blocos, é que o harness persiste estado fora da janela de contexto, um registro externo de progresso, e reinjeta no modelo só o que é relevante para a próxima decisão. É uma divisão de responsabilidade parecida com a de um orquestrador de workflow clássico (tipo Temporal) acoplado a um LLM no lugar da lógica de negócio: o estado vive fora, o modelo decide passo a passo.

O episódio não traz números de taxa de sucesso desses agentes de longa duração, nem benchmark comparando harnesses diferentes. Isso é relevante para quem avalia a solução: o conteúdo descreve arquitetura, não resultado medido publicamente.

A engenharia por trás da escala: Rust na Messages API

Um dos pontos mais concretos dos timestamps é a reescrita da Messages API em Rust (56:05 "Rebuilding the Messages API in Rust"), motivada, segundo a sequência da conversa, por restrições de CPU no crescimento da plataforma (53:25 "CPU constraints and scaling"). Trocar a camada que recebe e roteia cada requisição de modelo por uma stack mais eficiente é decisão clássica de quem passa de milhares para milhões de chamadas por dia.

Para times que consomem a API da Anthropic via SDK, essa reescrita é invisível no contrato de uso, mas explica por que a latência e a capacidade de lidar com picos de tráfego têm espaço para melhorar sem mudança de versão do modelo. É separação de responsabilidade de novo: o modelo evolui num ritmo, a infraestrutura de serving evolui em outro.

Opus 5.5 e o contexto de negócio

O episódio também aborda o lançamento do Opus 5.5, com notas sobre comportamento do modelo, avaliação e precificação, além de distillation e "preserved thinking" (técnica para manter o raciocínio intermediário do modelo entre etapas de destilação). A introdução gravada para o episódio ainda cobre o S-1 da Anthropic, o documento de abertura de capital, usado para contextualizar métricas como receita por funcionário e o que os apresentadores chamam de "loop de melhoria e investimento".

Esse pano de fundo financeiro ajuda a entender a pressão por trás da reescrita em Rust e da arquitetura de contenção: uma plataforma que vira produto de API em escala de IPO não pode depender de um harness improvisado. A separação brain/hands é, nesse sentido, tanto decisão de segurança quanto decisão de negócio.

O que isso muda para quem constrói agentes

Para o dev que está montando um agente com Claude, GPT ou um modelo aberto via MCP, o recado prático do episódio não é "use o Claude Managed Agents" (embora essa seja a oferta comercial da Anthropic). É que a arquitetura que separa decisão de execução deixou de ser luxo de quem tem equipe de segurança dedicada e virou pré-requisito para rodar agentes com qualquer ação irreversível em produção.

Na prática, isso se traduz em três decisões de projeto:

• O modelo nunca recebe credencial bruta; ele pede uma ação, e uma camada separada decide se executa.
• O estado de uma tarefa longa vive fora da janela de contexto, não só na conversa acumulada.
• Sandboxing e controle de rede são tratados como infraestrutura, com seu próprio deploy e versionamento, independente do modelo.

Para stacks como Supabase ou Convex, que já oferecem camadas de função serverless e row-level security, dá para montar essa separação sem depender de um serviço gerenciado: a function vira o harness, as policies do banco viram parte do sandbox, e o modelo fica restrito a chamar endpoints específicos via MCP ou function calling. O trabalho de modelar isso é o que o episódio descreve a Anthropic fazendo em escala, e que qualquer time pode replicar em escala menor antes de confiar um agente com ação real em produção.

Fonte: Latent Space