當 Anthropic 的工程團隊在擴展 Claude 的 Agent 能力時，他們沒有去發明新的 AI 框架，而是回到了電腦科學最古老的智慧——作業系統設計。這篇文章深入剖析 Anthropic 在 2026 年 2 月發表的 Managed Agents 架構，探討它如何借鑑 OS 虛擬化原則，解決 AI Agent 系統中最棘手的工程問題。
從「寵物」到「牛群」：Agent 基礎設施的典範轉移
要理解 Managed Agents 架構的設計動機，必須先理解它要解決的問題。
Anthropic 最初的 Agent 架構將所有元件——推理引擎（Brain）、執行環境（Hands）、狀態管理（Session）——耦合在單一容器中。這種設計創造了分散式系統中最經典的反模式：寵物伺服器（Pets）。
「寵物 vs 牛群」的比喻源自 Microsoft 工程師 Bill Baker（2011-2012），後由 Cloudscaling 的 Randy Bias 推廣到雲端運算領域。寵物是那些被命名、被精心照顧、不可替代的伺服器——「Bob 郵件伺服器壞了，全體動員搶修。」牛群則是編號的、自動化的、可拋棄的——「一台伺服器掛了，拉到後面處理掉，換一台新的上線。」
Anthropic 的 Agent 容器就是典型的寵物。容器故障意味著整個 Session 遺失，工程師需要透過 WebSocket 事件流手動除錯。更嚴重的是，LLM 生成的不可信程式碼與認證憑證共存於同一個容器中——一次成功的 Prompt Injection 就能讓 Claude 讀取自己的環境變數，竊取所有存取權杖。
三層解耦架構：Brain、Hands、Session
Managed Agents 的核心設計是將 Agent 虛擬化為三個獨立元件：
Session：不可變的事件日誌
Session 是一個 append-only 的事件日誌，持久化儲存在任何單一服務之外。它提供三個關鍵介面：
emitEvent(id, event)— 寫入事件getSession(id)— 取得完整事件日誌getEvents()— 支援位置切片的靈活查詢
這直接對應分散式系統中的**事件溯源（Event Sourcing）**模式。傳統事件溯源使用 append-only store 捕獲所有狀態變更事件作為唯一事實來源，通過重播事件重建狀態，並透過物化視圖（Materialized Views）提供最佳化的讀取投影。
在 Managed Agents 中：Session 事件日誌 = 事件儲存；getEvents() 的位置切片 = 時序查詢；事件在注入 Context 前的轉換 = 物化視圖。
這帶來一個關鍵優勢：可逆性。其他框架要求對保留什麼資訊做出不可逆的決定（滑動視窗丟棄歷史、摘要壓縮損失保真度）。事件溯源保留完整日誌，將「該展示什麼」的決定延遲到查詢時。
Brain：無狀態的推理引擎
Brain 是 Claude 加上 Harness（控制迴圈）。關鍵設計：它是完全無狀態的。
當 Brain 崩潰時，不會遺失任何 Session 資料。新的 Brain 透過 wake(sessionId) 啟動，從事件日誌重建上下文，從最後一個事件繼續執行——就像作業系統從儲存的暫存器恢復程序狀態一樣。
這讓 Brain 從寵物變成了牛群。任何 Brain 實例都是可替換的，因為狀態不在它身上。
Hands：隔離的執行環境
Hands 是沙箱化的執行環境，透過統一介面暴露：
execute(name, input) → string
這個介面的設計哲學與 Unix 的 read() 系統呼叫異曲同工。read() 從 1970 年代的磁碟到現代 SSD 保持不變——它對底層實作不關心。同樣，execute() 將容器、手機、模擬器統一抽象為相同的介面。Harness 不需要知道背後是 Docker 容器還是 Android 模擬器。
作業系統的隱喻不只是比喻
Anthropic 在文章中明確引用了 OS 設計原則：「作業系統透過將硬體虛擬化為抽象層來解決這個問題——Process、File——這些抽象足夠通用，能支援尚未存在的程式。」
這不只是行銷修辭。學術界已經在系統性地探索這個對應關係：
Rutgers 大學的 AIOS 論文正式定義了「LLM 系統呼叫」的完整分類法：Agent 排程（FIFO、Round Robin）、Context Switching（透過 beam-search-tree 快照）、記憶體管理（短期執行日誌 vs 長期持久儲存）、存取控制（透過權限群組）。
浙江大學的 Agent-Kernel 專案採用顯式微核心架構：最小核心處理插件註冊、通訊和驗證，專門化模組作為插件運行——直接映射微核心如何將驅動程式和檔案系統委派給使用者空間服務。該系統展示了管理 10,000 個並行 Agent 的能力。
| OS 概念 | Managed Agents 對應 | 說明 |
|---|---|---|
| Process | Agent Session | 擁有自己生命週期的執行單元 |
| Process Scheduler | Harness 編排迴圈 | 決定下一步執行什麼 |
| System Call | execute(name, input) → string | Brain 與 Sandbox 之間的穩定介面 |
| Virtual File System | getEvents() Session 介面 | 事件日誌上的抽象層 |
| Context Switch | 無狀態 Brain 從 Session 日誌重建 | 從儲存的狀態恢復執行 |
| Kernel/Userspace 邊界 | Brain-Sandbox 透過 MCP 分離 | 憑證永遠不進入 Sandbox |
安全邊界：解決「致命三角」
Simon Willison 指出 AI Agent 安全的「致命三角」：一個 Agent 同時 (1) 存取不可信內容、(2) 擁有具副作用的工具、(3) 持有特權憑證——全在同一個執行環境中。
Anthropic 的耦合式設計完美體現了這個問題。解耦後的架構用兩種模式隔離憑證：
Git 存取：存取權杖在 Sandbox 初始化時被寫入 git remote 設定。Agent 使用 git push/pull 時不需要直接處理權杖。
自訂工具：OAuth 權杖儲存在 Sandbox 外部的安全保險庫中。Claude 透過 MCP 工具呼叫一個專用代理（proxy），由代理從保險庫取得憑證後再呼叫外部服務。權杖永遠無法從 Sandbox 內部存取。
這不是理論上的風險。2025-2026 年間，真實世界的 Agent 安全事件頻繁發生：
- CVE-2026-25049（n8n）：CVSS 10.0，允許任意命令執行並解密所有儲存的憑證
- EchoLeak（2025）：Microsoft Copilot 的零點擊 Prompt Injection，從 OneDrive、SharePoint、Teams 滲透資料
- Perplexity Comet：Reddit 隱藏評論觸發 AI 登入使用者信箱並在 150 秒內傳輸憑證
- AWS AgentCore Sandbox 繞過：透過 DNS Tunneling 規避「完全隔離」，存取 IAM 角色憑證
根據 Obsidian Security 的報告，2025 年 73% 的生產環境 AI 部署遭遇過 Prompt Injection 攻擊。
Context 管理：為什麼事件溯源勝出
長時間任務必然超出 Claude 的 Context Window。各框架處理方式大相徑庭：
LangGraph 使用 checkpointing 搭配 trimMessages() 截斷歷史，或插入摘要節點壓縮。CrewAI 提供統一的 Memory 類別，底層結合 ChromaDB（短期）和 SQLite（長期）。Manus 將檔案系統視為「終極 Context——大小無限、天然持久、可直接操作」，並積極修剪工具輸出。
JetBrains 的研究提供了有力的實證：在 SWE-bench 上，觀察遮罩（observation masking）——用佔位符替換舊的工具輸出同時保留推理/動作——在 5 個場景中有 4 個優於 LLM 摘要。摘要導致 Agent 運行時間延長約 15%，且摘要生成本身消耗了總成本的 7% 以上。
Anthropic 的事件溯源方法在這個光譜中佔據獨特位置。它不做不可逆的壓縮，而是保留完整日誌，讓 Harness 在查詢時決定如何轉換事件再注入 Context——實現「Context 工程以達到高 Prompt Cache 命中率」。
Manus 團隊的生產數據支持這個思路：KV-cache 命中率是「生產級 AI Agent 最重要的單一指標」。在 Claude Sonnet 上，快取命中（3/MTok）之間有 10 倍成本差距。
多腦多手：Many-to-Many 擴展
最初的架構要求每個 Brain 對應一個容器，產生啟動延遲。解耦後：
- 推理立即開始：Brain 從 Session 日誌拉取待處理事件，不需等待容器配置完成
- p50 首次回應時間（TTFT）下降約 60%
- p95 TTFT 下降超過 90%
更重要的是，多個 Brain 可以共享多個 Hands，Agent 可以將工作委派給其他 Agent。每個 Hand 都是一個 MCP 工具，透過 execute(name, input) → string 介面暴露。MCP（Model Context Protocol）解決了 N x M 整合問題：不需要每個 AI 應用為每個工具建立獨立整合（N x M），只需 N + M 整合。
截至 2026 年初，MCP 已累計超過 9,700 萬次月度 SDK 下載、10,000 個以上的活躍伺服器，被 Claude、ChatGPT、Cursor、Gemini、VS Code 等主流工具支援，並於 2025 年 12 月捐贈給 Linux Foundation。
與其他框架的定位差異
Managed Agents 與主流 Agent 框架有本質上的定位差異：
| 維度 | Managed Agents | LangGraph | CrewAI | OpenAI Agents SDK |
|---|---|---|---|---|
| 架構模式 | Brain/Hands/Session 解耦 | 有向圖 + 條件邊 | 角色導向團隊 | 基於 Handoff 的委派 |
| 狀態管理 | 外部 append-only 事件日誌 | Checkpoint + 時間旅行 | 任務輸出序列傳遞 | Session 變數（暫時性） |
| 擴展性 | 無狀態 Harness，三元件獨立擴展 | 圖層級平行 | 規模受限 | 輕量、低開銷 |
| 安全模型 | Vault + Proxy，憑證不進 Sandbox | 應用層級 | 應用層級 | Guardrails（輸入/輸出驗證） |
LangGraph 在基準測試中展現最低的延遲和 Token 消耗。CrewAI 聲稱超過 60% 的 Fortune 500 採用率，但團隊在規模化時往往遷移到 LangGraph。OpenAI Agents SDK 以輕量著稱但僅支援 OpenAI 模型。
但這些框架本質上是編排層（Orchestration Layer），而 Managed Agents 是基礎設施層（Infrastructure Layer）。它不告訴你如何組織 Agent 的工作流程，而是告訴你如何讓 Agent 的運算、狀態和執行可靠地運行在生產環境中。
設計哲學：介面的穩定性
Anthropic 團隊總結他們的設計哲學時說：「我們對介面的形狀有意見，對介面背後運行什麼沒有意見。」
這與作業系統的設計哲學完全一致。VFS 對 read()/write() 有意見，對底層是 ext4 還是 NFS 沒有意見。Managed Agents 對狀態操作（透過 Session）、計算（透過 Sandbox）、多對多擴展有意見，對具體的 Harness 實作沒有意見。
隨著模型能力快速演進，架構的關鍵問題從「如何控制模型？」轉變為「可以停止做什麼？」。Claude Sonnet 4.5 表現出的「Context 焦慮」（接近 Token 上限時過早結束任務）在 Claude Opus 4.5 上完全消失，讓針對這個行為的 Harness 修補變成了無用的冗餘代碼。
穩定的介面讓實作可以隨模型進化而改變，而不需要重寫整個系統。這正是 read() 從 1970 年代存活至今的原因。
結語
Managed Agents 架構的核心洞察並非技術創新，而是工程智慧的遷移。作業系統花了數十年建立的抽象——Process、Syscall、VFS、Kernel/Userspace 邊界——在 AI Agent 的世界中找到了精確的對應。
對於正在建構 Agent 系統的工程師，這裡有三個可操作的啟示：
- 解耦狀態：將 Agent 的狀態從執行環境中分離出來。使用事件溯源模式而非滑動視窗或摘要壓縮
- 隔離憑證：永遠不要讓 Agent 生成的程式碼能存取認證權杖。使用 Proxy 模式注入憑證
- 設計穩定介面：投資在不會隨模型能力變化而過時的抽象上。
execute(name, input) → string比任何特定的 Prompt Engineering 技巧都更持久
在 AI Agent 的戰場上，最持久的武器不是最新的模型，而是最穩定的抽象。
參考資料
- Scaling Managed Agents: Decoupling the brain from the hands — Anthropic 工程部落格，Managed Agents 架構設計的原始文章
- AIOS: LLM Agent Operating System — Rutgers 大學論文，正式定義 LLM 系統呼叫分類法
- Agent-Kernel: A MicroKernel Multi-Agent System Framework — 浙江大學論文，微核心架構應用於多 Agent 系統
- The History of Pets vs Cattle — Randy Bias 對 Pets vs Cattle 比喻的起源記錄
- Context Engineering for AI Agents: Lessons from Building Manus — Manus 團隊的 Context 工程經驗
- JetBrains Research: Efficient Context Management — 觀察遮罩 vs 摘要壓縮的 SWE-bench 基準測試
- Event Sourcing: The Backbone of Agentic AI — 事件溯源模式在 Agent 架構中的應用
- Securely deploying AI agents — Anthropic 的安全部署指南，Proxy 模式與隔離技術
- How to sandbox AI agents — AI Agent 沙箱化技術比較（容器、microVM、gVisor）
- A Year of MCP: From Internal Experiment to Industry Standard — MCP 生態系統發展回顧
- OWASP Top 10 for LLM Applications 2025 — LLM 應用安全風險分類
- AgentFold: Long-Horizon Web Agents — 主動式 Context 管理，92% Token 縮減
