AI Builders Digest 0630：Agent 边界工程、Codex 权限收紧与 CPU 回潮

今天的 AI Builders Digest 主线是 Agent 执行边界正在产品化：Anthropic 把 Managed Agents 拆成 brain、hands、session 三个接口，并把自托管 sandbox、私有 MCP 连接推到企业侧；OpenAI Codex 同日补上更细的权限 profile 和后台用量修复；Lip-Bu Tan 则提醒另一层现实：Agent 越会编排，CPU、foundry 和供应链越不该被当成背景板。

今日总结

主线：Agent 从“会做事”进入“谁来拿权限、谁来跑代码、谁来记账”的工程阶段。

Agent 架构的核心矛盾变成边界。 Anthropic 的两篇官方文章几乎是同一件事的两面：工程博客讲 Managed Agents 为什么要把 “brain”（Claude 与 harness）从 “hands”（sandbox 与 tools）和 “session”（append-only event log）里拆出来；产品博客讲企业为什么要让 sandbox 留在自己的基础设施里，让 MCP tools 通过 tunnel 进入 Anthropic 的 orchestration。模型能力继续变强，架构反而要更冷静：凭证不进 harness，执行不和记忆绑死，代码运行环境可以替换。

OpenAI Codex 的更新说明同样指向治理层。 Thibault Sottiaux 一条 5860 赞长推把 Codex 用量异常拆成三类：auto-review 更主动、subagent 工作变多、后台建议重复或失败后重试过频；同日另一条 2248 赞推文发布替代粗粒度 sandbox mode 的 permission profiles，把 OS 强制的文件读写规则、网络域名、Unix sockets 和 fail-closed 管理员 allowlist 绑到一起。Agent 不只是要更聪明，还要把“能碰什么”变成可审计的产品能力。

底层算力叙事开始从 GPU 扩展回 CPU 与 foundry。 Lip-Bu Tan 在 No Priors 里把 Intel 的恢复路径说得很朴素：先强化资产负债表，聚焦产品，简化产品线，听客户，再做下一代领导性产品。他特别提到 agentic AI 正在推高 CPU 需求，foundry 又是 IP、良率、缺陷密度、cycle time 和信任的生意。今天的链路很完整：上层 Agent 要权限边界，中层平台要计费与可观测，底层芯片要能支撑更多编排和推理。

今日关键词： Managed Agents · 自托管 sandbox · MCP tunnels · Codex permission profiles · CPU 回潮

官方博客

Anthropic Engineering：Claude Code 质量事故复盘

An update on recent Claude Code quality reports 是 Anthropic 对过去一个月 Claude 质量报告的复盘。它把问题限定得很清楚：受影响的是 Claude Code、Claude Agent SDK 和 Claude Cowork 三处变更，API 和 inference layer 没受影响；三个问题已在 4 月 20 日的 v2.1.116 修复。

核心不是“模型变差”，而是产品与 harness 的默认策略踩错了边界：

• 3 月 4 日，Claude Code 默认 reasoning effort 从 high 降到 medium，目的是降低高模式下长延迟导致 UI 像冻结的问题。Anthropic 复盘称这是错误取舍，4 月 7 日已回滚。
• 3 月 26 日，为了降低用户恢复空闲超过 1 小时会话时的延迟，系统清理旧 thinking，但 bug 导致它持续影响会话状态。
• 这些问题影响 Sonnet 4.6 和 Opus 4.6，API 层没有被波及。

“This was the wrong tradeoff.”

这句话其实是今天整期的底色：Agent 产品里，性能、延迟、上下文、权限和用户感知都不是孤立旋钮。把一个默认值往“更快”调一点，可能立刻变成“没那么聪明”；把历史 thinking 清掉一点，可能变成“会话不再像原来的会话”。当 Agent 开始承担长任务，harness 的小改动就会被用户体验放大。

🔗 https://www.anthropic.com/engineering/april-23-postmortem

Anthropic Engineering：Managed Agents 如何把 brain 从 hands 里拆出来

Scaling Managed Agents: Decoupling the brain from the hands 是今天最值得读的工程长文。Anthropic 先把 Agent 虚拟化成三个组件：session 是 append-only event log，harness 是调用 Claude 并路由工具调用的循环，sandbox 是 Claude 跑代码、改文件的执行环境。早期方案把三者塞进同一个 container，好处是文件编辑直接走 syscall、开发快；坏处是凭证、用户代码、Agent loop 和日志全在一个锅里。

于是他们把 “brain” 从 “hands” 和 “session” 中拆开：

• brain：Claude 与 harness，负责 orchestration、context management、error recovery。
• hands：sandbox 与 tools，真正执行代码、访问文件和服务。
• session：事件日志，用 emitEvent(id, event) 写入，用 getSession(id) 恢复。

安全边界是这篇的硬核部分。Anthropic 明说，在耦合设计里，不可信代码和 credentials 在同一容器中运行，prompt injection 只要诱导 Claude 读取自己的 environment，就能拿 token；而 token 一旦泄露，攻击者还能开新 session 继续做事。结构性修复是让 harness 不再知道凭证：GitHub token 在 sandbox 初始化时只用于 clone 和 remote，MCP OAuth token 放在 secure vault，Claude 通过专用 proxy 调 MCP tools，proxy 再按 session token 去取凭证。

性能收益也很具体。容器不再是启动 session 的前置条件后，只有真正需要执行时才 provision sandbox；inference 可以在 orchestration layer 拉到 session log 后立刻开始。Anthropic 给出的结果是 p50 time-to-first-token 下降约 60%，p95 下降超过 90%。

“The session is not Claude’s context window.”

这句是全文最重要的抽象：长任务不能把上下文窗口当数据库，session log 才是可恢复的事实源。模型会变，harness 会变，sandbox provider 会变，但事件日志要能让一切重新接上。

🔗 https://www.anthropic.com/engineering/managed-agents

Claude Blog：自托管 sandboxes 与 MCP tunnels

New in Claude Managed Agents: self-hosted sandboxes and MCP tunnels 是上面那篇工程架构的产品化版本。Claude Managed Agents 现在可以在企业自己控制的 sandbox 里运行，并连接私有 Model Context Protocol servers。Anthropic 的表述很直接：sandbox 和它访问的服务都留在企业边界内，安全与运行时控制权在客户侧。

几个落地信息值得记：

• self-hosted sandboxes 进入 public beta。
• MCP tunnels 处于 research preview，需要申请。
• sandbox 可以跑在客户自己的基础设施上，也可以用 Cloudflare、Daytona、Modal、Vercel 等 provider 处理 compute 和 isolation。
• Agent loop 仍在 Anthropic 基础设施里，tool execution 与敏感文件则留在客户环境。

这就是 Managed Agents 那套 brain / hands 解耦的商业答案：Claude 可以负责“想”和“编排”，企业保留“跑代码”和“接私有工具”的边界。对大客户来说，这比单纯喊“我们支持企业安全”有用得多，因为边界不是政策承诺，而是部署拓扑。

🔗 https://claude.com/blog/claude-managed-agents-updates

播客精选

No Priors：Intel CEO Lip-Bu Tan 谈 Agent 时代的 CPU、foundry 与供应链

Re-engineering the Semiconductor Supply Chain with Intel CEO Lip-Bu Tan 请到 Intel CEO Lip-Bu Tan。主持人把议题放在半导体供应链、美国制造、foundry 业务和 AI 对算力结构的影响上，但 Tan 的回答最打动人的地方反而很运营：crawl and be humble，听客户，聚焦产品，简化产品线，再去做下一代 leadership products。

Agentic AI 把 CPU 重新推回台前。 Tan 在开场就说，现在 agentic AI 和 inference 让 CPU 需求变得很高。他还提到 Jensen Huang 对 Intel 的 50 亿美元投资，如今已经变成 250 亿美元。这不是一句客套话，它说明 AI 叙事不只属于 GPU：当 Agent 要编排工具、跑强化学习、处理更多控制流，CPU 的位置会重新变得显眼。

Foundry 是信任生意，不只是产能生意。 Tan 说 foundry 资本开支重、难做，客户要把订单交给你，背后看的是 IP、良率、缺陷密度、cycle time、质量和可靠性。如果良率不好，客户会直接 revenue miss。换句话说，AI 供应链的瓶颈不是“有没有厂”这么简单，而是客户敢不敢把自己的未来交给你。

半导体重新变热，但门槛没有变低。 Tan 回忆 15 到 20 年前投半导体时，除了 Samsung、ARM、SoftBank 等大公司，很少有 VC 愿意一起投；现在 VC 又开始对 semi 感兴趣。热度回来了，但风险仍在：资本密集、设计不可预测、客户切换成本高、必须深懂 workload。

“Right now, the demand is very high for my CPU.”

今天把这句话和 Anthropic、OpenAI 的 Agent 更新放在一起看，会更有味道：软件层正在把工作流切成更多可并行、可恢复、可审计的任务；硬件层要承接的不是单次聊天，而是一整套长时间运行的编排系统。

🔗 https://www.youtube.com/watch?v=asCgCv2XB4s

X/Twitter 动态

Boris Cherny（Claude Code）：subagents 默认后台运行

Boris Cherny 发出一条 7657 赞动态：下一版 Claude Code 里，subagents 会默认在后台运行，用户可以在 subagents 工作时继续和 Claude 对话；如果想让 Agent 前台运行，只要直接告诉 Claude。

这条和 Anthropic Managed Agents 的架构方向完全同频：长任务不是一次对话里的阻塞动作，而是可并发、可恢复、可继续协调的后台工作。产品体验上，它把“等 Agent 干完”改成“和 Agent 一起调度工作”。

🔗 https://x.com/bcherny/status/2071647677591466098

Thibault Sottiaux（OpenAI Codex）：权限 profile 与用量修复同时补课

Thibault Sottiaux 先用 2248 赞推文宣布 Codex 高级用户的新权限能力：用 reusable、inheritable permission profiles 替代粗粒度 sandbox modes，把 OS 强制的文件 read/write/deny 规则、包括 **/*.env 在内的敏感路径、按域名限制的网络访问、Unix sockets 和 fail-closed admin allowlists 绑定起来。关键词是 least privilege per task。

随后另一条 5860 赞长推 解释 Codex 用量异常：没有单一大故障，而是几个小问题叠加。auto-review 更主动、另一个变更触发更多 subagent 工作、后台 suggestions 可能重复运行或失败后过度重试；显示层还把 auto-review 误记成 GPT-5.4 usage，并把失败或 rate-limited 请求显示成 turns。OpenAI 已回滚相关变更、修复调度与重复生成，并给用户额外补 24 小时内可用的一次 reset。

这两条放在一起看，Codex 的主战场已经不只是“会不会写代码”，而是任务级权限、后台消耗、用量解释和审计体验。Agent 一旦常驻，平台就必须把“它偷偷做了什么”讲清楚。

🔗 https://x.com/thsottiaux/status/2071636285807059315
🔗 https://x.com/thsottiaux/status/2071740419030053227

Claude：Claude 进入 Microsoft Foundry GA

Claude 官方账号 宣布 Claude in Microsoft Foundry general availability，Azure 客户可以使用 Claude Opus 4.8 和 Claude Haiku 4.5，并通过 Azure authentication、billing、commitment retirement 接入。配套 说明 提到 inference 跑在 Azure infrastructure 上，由 Anthropic 运营；prompt caching 和 extended thinking 已支持。

这是另一个“边界产品化”的例子：同一个 Claude，要进入企业采购、身份、账单和承诺消费体系。模型能力是入口，真正落地靠云平台的权限、结算和合规接口。

🔗 https://x.com/claudeai/status/2071653958905467027
🔗 https://x.com/claudeai/status/2071653962013446586

Aaron Levie（Box CEO）：开放模型会重写监管算式

Aaron Levie 把今天的开闭源争论讲成一个经济问题：如果闭源 stack 能长期大幅领先，那么垂直整合和访问控制可以成立；但如果 open weights 能长期贴近前沿能力，等式就反过来了。监管越强，frontier market 还在你手里，但绝大多数 token 可能流向替代 stack，而这个 stack 会包含模型和底层硬件，并由别人控制和变现。

这条 109 赞推文不热，但判断很关键：真正的问题不是“开源好不好”，而是“前沿差距能否长期大到足以支撑 gatekeeping”。这和 Anthropic/Claude 的企业边界路线不是矛盾，而是同一市场压力下的两种答案。

🔗 https://x.com/levie/status/2071775583072375214

Madhu Guru（前 Google 产品负责人）：强开源模型可能强化云基础设施

Madhu Guru 认为 GLM 这类强 open-weight 模型反而可能强化 Google 的位置：更多公司会试验 fine-tuning open-weight models，价值会流向 infra；企业想要灵活地在 managed platform 上运行和微调 open models，同时获得 reliability、security 和 support，而 Google Cloud 在这里位置不错。

这条和 Aaron Levie 的推文正好互补：如果 open weights 接近前沿，价值不一定只流向模型发布者，也会流向谁能提供稳定、合规、可运营的基础设施。

🔗 https://x.com/realmadhuguru/status/2071637885154148785

Zara Zhang：把 read later 变成日历里的 30 分钟

Zara Zhang 做了一个 Chrome extension，把 read later 列表变成 Google Calendar 上的专门阅读时间：保存 5 篇文章后，自动创建一个 30 分钟 reading block，并附上链接。她强调无需账号、无服务器、全部本地、开源。另一条 179 赞引用 说“写作的市场价值已经大幅上升”，因为好的表达同时影响产品构建、模型 steering 和受众建设。

这是今天最小但很漂亮的 builder 信号：Agent 时代很多产品不会从大平台开始，而是从一个本地、清晰、能立刻改变个人工作流的小动作开始。

🔗 https://x.com/zarazhangrui/status/2071766827345285411
🔗 https://x.com/zarazhangrui/status/2071670108033073365

Guillermo Rauch（Vercel CEO）：20 倍 larger functions，明天还能部署更多

Guillermo Rauch 转发 Vercel 20x larger functions，随后又发了一句 “You can deploy anything and everything to Vercel. More tomorrow”。这类动态看似产品预热，但放在 Claude Managed Agents 支持 Vercel 作为 sandbox provider 的语境里，意义更明显：serverless 平台正在争抢 Agent 执行层的位置。

🔗 https://x.com/rauchg/status/2071716510389662153
🔗 https://x.com/rauchg/status/2071718135799927224

数据采集时间：2026-06-30 22:38 CST