Agent安全不是靠堵沙箱漏洞，而是把大脑和手分开放
Anthropic把执行代理架构拆成常驻服务器上的「大脑」和随时可销毁的沙箱「手」，凭证只存在出口网关，agent从未真正碰到过它们，这是意外但最关键的安全收益。
原视频在 YouTube 上放不出来，用音频听：
核心论点 · 点时间戳可跳到原声
人效一年涨了将近五倍
过去一年Anthropic的12个月收入/员工从140万美元涨到660万美元，同时从Q2每1美元收入要倒贴0.5美元，变成每1美元成本能赚2美元，本季度GAAP利润率19%，一年前是-129%。S1里把原因归为两个互相咬合的循环：更好的Claude带来更多用例和反馈，迭代出更强的Claude；收入增长带来更大投资，投资又喂养更强模型。
API 防蒸馏是场拉锯战
一篇公开论文证明可以从API里窃取推理链来蒸馏模型，促使团队加固了「保留思考块」「前缀锁定思考」等机制。团队强调这不是商业问题——蒸馏出去的模型如果绕开了安全分类器，才是他们真正担心的safety问题。为了不伤到正常用户，他们提前联系开源harness维护者和大客户，专门为被打断的压缩策略单独做了新的压缩功能替代。
一次事故逼出了一键断供的基础设施
每次发布模型都要单独定数据留存与审核政策——Opus 5.5就没有Fable那样的强留存要求。团队还搭了一套「信任凭证」系统，把「谁被授权用某个模型/项目」一路透传到系统底层。这套通用授权设施最初是Fable被紧急下线那次事故后，为了「万一还需要对所有人一键断供某个模型」而做的对冲投入，事后发现比预想中用得频繁得多。
CPU 跟 GPU 一样稀缺
多数人只盯着加速器层的算力紧张，但Anthropic发现CPU同样是瓶颈——产品服务、API、沙箱、CI全都在抢同一块CPU预算，而且跟训练用的沙箱算力是同一个零和游戏，靠云厂商谈下来的配额要在内部手动分配给所有业务线。过去可以按需在线扩容的CPU，现在也必须提前做容量规划。
零 Rust 经验的团队把 API 整体搬家
团队没有一个Rust工程师，却决定把整个Messages API从Python单体一次性port成Rust，而不是按部件分批迁移——因为具体代码由Claude来写，人只负责设计分布式系统架构、以及用影子流量验证新旧系统输出是否一致。结果CPU节省40%-50%，首token延迟改善10%-20%，团队因此多出了带宽去做更激进的、面向用户的架构改造。
大脑和手分开，安全是意外收获
Claude Managed Agent把常驻的harness（大脑）和随时可销毁的沙箱执行环境（手）分开，最初目的只是延迟和可靠性——沙箱挂了agent不会跟着死。唯独一位产品经理从一开始就坚持「这个架构最重要的属性其实是安全」，当时没人真信，团队成员后来说专门去跟这个人道歉。真正的安全收益是凭证从不进入agent可见的空间，只有出口代理在真正调用时才注入真实凭证。
减速发布和继续发新模型并不矛盾
发布会提到的「pacing」不等于不发新模型——Opus 5.5在上一代发布11天后就上线，只是因为它通过了架构安全、在线防护、离线分类三道关。但在线安全分类器制造了新的路由难题：一个普通用户只是问生物作业，对话里提到一次安全相关话题就可能被整段判定触发、降级到弱模型回答，而分类器本身没聪明到能把误判和真正的恶意区分开。
多智能体只需守住两条原则
对于多agent架构，建议只需满足两点：子agent之间共享统一上下文，并且彼此异步、不互相阻塞。满足这两条之后应该放手让Claude自己设计分工——他们预期未来Claude会自己学会拆分、克隆、调整协作架构，人只需要守住这两条约束，其余交给模型去试，可能会一次性解决过去觉得棘手的问题。
原话 · 已逐字校验
the entire point of why Anthropic exists is 'cause we want AI to create positive outcomes in the world safely, and we run a lot of safeguards classifiers on the tokens that we're producing in order to make sure that they're safe.
Anthropic存在的全部意义就是希望AI能安全地为世界创造正向结果，我们在自己产出的token上跑了大量安全分类器，确保它们是安全的。
it's, like, a very common thing in platform engineering that you, like, uh, you have one incident and then you, like, overprepare for that incident, and then the incident never happens again.
这在平台工程里很常见：出过一次事故，然后你会为那次事故过度准备，结果这种事故再也没发生过。
We were like, "We're gonna hit a CPU wall. There's stuff we need to do." And, and we've done it, right? Like, we've gone multi-region. We've done all these things we need to do.
我们当时说：「我们要撞上CPU的墙了，有些事必须去做。」然后我们真做了——上了多区域部署，该做的都做了。
we have the brain separate from the hands, and what that means is, like, the harness runs on a durable server, really ours, right?
我们把大脑和手分开——harness跑在一台持久化的服务器上，是我们自己持有的。
the agent is never, like, in the same place where the credentials are, right? Because in the old world of, like, just boot the agent in a box and, like, let it run, you had to send credentials in there, and then you're, like, doing some sort of, like, ah, how do we, like, scrub this and that and make sure that, like, the agent can't take that credential and go do something that it shouldn't be doing.
agent和凭证从来不在同一个地方。以前的做法是把agent丢进一个盒子里让它跑，你得把凭证也塞进去，然后还得想办法清洗、确保agent不会拿着凭证去做不该做的事。
To, to, to me, this is, like, a, a, a close cousin of the general model routing problem of do you want a smart router or a dumb router? Does that make sense?
对我来说，这其实是模型路由问题的近亲：你想要一个聪明的路由器，还是一个笨路由器？
You just need to make sure it can like parallel process, so it needs to share state, and it needs to like not block its sub-agents.
你只需要确保它能并行处理——它需要共享状态，而且不能阻塞自己的子agent。
数字与实体
| 12个月收入/员工 | 660万美元（一年前140万美元） | 1:01 |
| Anthropic IPO预期估值 | 2万亿美元，预计两周后上市 | 0:00 |
| Rust重写后CPU节省 | 40%-50% | 56:19 |
| Rust重写后首token延迟改善 | 10%-20% | 56:19 |
术语
- distillation模型蒸馏
- 用大模型的输出（尤其推理过程）训练小模型，复刻其能力。
- trust grant信任凭证
- 记录谁被授权访问某模型或项目，贯穿系统底层的授权机制。
- Claude Managed AgentClaude 托管代理
- 开箱即用的agent API，内置harness，无需自建基础设施。
- chain-of-thought extraction思维链提取
- 窃取模型推理过程的文本，用于蒸馏复刻其能力。
- brain/hands architecture大脑-手分离架构
- 常驻harness（大脑）与可随时销毁的沙箱执行环境（手）分离。
收听指南
关心Anthropic商业模式、AI安全工程、agent沙箱架构的创业者、工程负责人和投资人，想了解IPO前夕这家公司真实的运营细节。
1:28-1:42关于读书、Slack管理、DevRel团队搭建的闲聊可跳过。