Anthropic hat die Messages API in Rust neu geschrieben und Agenten die Zugangsdaten entzogen

Anthropic hat Claude die gesamte Messages API in Rust neu schreiben lassen und die Umstellung in der Produktion vergangene Woche abgeschlossen. Im Podcast Latent Space schilderten das die Verantwortlichen der Claude Platform. Für Agentenentwickler ist aber wichtiger, wie das Unternehmen das Gehirn eines Agenten von seinen Händen und von seinen Geheimnissen trennt.

Ein mit Schattenverkehr geprüfter Rust-Port spart laut Anthropic 40 bis 50 % CPU

Katelyn Lesse leitet das Engineering, Angela Jiang das Produkt der Claude Platform. Das 107 Minuten lange Gespräch mit Latent Space wurde einen Tag nach dem Start von Opus 5.5 aufgezeichnet. Laut den Gästen lief die Messages API vor einem Jahr noch als Python-Monolith in einer einzigen Google-Cloud-Region. Vergangene Woche hat Anthropic sie vollständig durch eine Rust-Version ersetzt.

Spannender als die Sprache ist das Vorgehen. Im Team gab es keinen einzigen erfahrenen Rust-Entwickler. Menschen entwarfen Architektur und Verifikation, den Code schrieb Claude. Es entstand ein Fork der gesamten API, den das Team mit Schattenverkehr fütterte, um zu prüfen, ob Python- und Rust-Version dieselben Antworten liefern. Die Gäste schätzen die CPU-Ersparnis auf 40 bis 50 % und die Verbesserung der Zeit bis zum ersten Token auf 10 bis 20 %. Sie selbst sprechen von einer groben Schätzung.

Das zweite Thema ist Destillation. Forschende hatten gezeigt, wie sich Reasoning Traces aus proprietären Modellen herausziehen lassen, und Anthropic hat die Lücke geschlossen. Thinking-Blöcke müssen jetzt über die Gesprächsrunden hinweg erhalten bleiben. Das bricht fremde Harnesses, vor allem solche mit eigener Kontextkompaktierung. Laut Gespräch hat Anthropic deshalb Kompaktierung direkt in die API eingebaut und die Maintainer von Open-Source-Harnesses vorab kontaktiert.

Managed Agents trennen das Gehirn von den Händen und von den Zugangsdaten

Am praktischsten für Entwickler ist der Teil über Claude Managed Agents. Der Harness, also das Gehirn des Agenten, läuft auf einem dauerhaften Server. Die Hände, eine Sandbox oder ein Container zum Ausführen von Code, entstehen erst, wenn sie gebraucht werden. Stürzt die Sandbox ab, lebt der Agent weiter. Die erste Version war schlicht Claude Code in einer Sandbox mit einer API obendrauf. Der Start dauerte lange, und starb der Container, war der ganze Agent weg.

Die Sicherheit kam fast nebenbei. Zugangsdaten für MCP-Server, CLIs oder APIs liegen in einem separaten Tresor. Der Agent sieht nur einen Platzhalter. Ein Proxy setzt die echten Daten erst auf dem Weg nach draußen ein. Die Sandbox kann außerdem eine Allowlist für Domains haben oder ganz ohne Netzwerk laufen. Code, den der Agent schreibt und ausführt, hat nichts zu stehlen und keinen Ort, wohin er es schicken könnte.

Diese Lektion gilt für alle, die eine eigene Agenten-Runtime bauen. Drei Fragen reichen. Was muss einen Absturz überleben? Was führt nicht vertrauenswürdige Arbeit aus? Welche Geheimnisse müssen wirklich dort liegen, wo Code läuft? Viele selbstgebaute Lösungen reichen Tokens immer noch als Umgebungsvariablen in den Container.

Anthropic schiebt Sandbox-Ausbrüche aufs Training, unabhängige Prüfungen fehlen

Hier spricht immer noch ein Anbieter über sein eigenes Produkt. Die Zahlen zu CPU und Latenz kamen als Schätzung, ohne Methodik und ohne Aufschlüsselung nach Lasttyp. Das Transkript ist automatisch erstellt, ordnet die Sprecher nicht zu, und Latent Space warnt selbst, dass Namen und Formulierungen nicht stimmen müssen.

Vorsicht ist auch beim Argument zu Sandbox-Ausbrüchen geboten. Die Gäste sagen, die bekannten Vorfälle beträfen Modelle im Training, wo ein Agent eine unlösbare Aufgabe bekommt und einen Grund hat, aus der Box auszubrechen. In der Produktion liefen dagegen Online-Schutzmechanismen und eine getrennte Architektur. Die Unterscheidung ist sinnvoll. Prompt Injection braucht in der Produktion aber kein motiviertes Modell, eine nicht vertrauenswürdige Eingabe genügt. Ein separater Tresor schützt Zugangsdaten. Daten, auf die der Agent legitim zugreifen darf, schützt er nicht.

Eine zustandsbehaftete Messages API und die Kosten des erhaltenen Denkens geben den Ausschlag

Die Gäste deuteten den nächsten Schritt an: eine Messages API, die den Zustand eines langen Gesprächs selbst speichert, sodass der Client nicht jedes Mal den gesamten Verlauf mitschicken muss. Bei langen Agentenläufen spart das Zeit und Bandbreite. Dafür lägen Gespräche länger auf den Servern von Anthropic, und Unternehmen in der EU werden fragen müssen, wie lange und wo diese Daten gespeichert werden.

Das zweite Signal ist betrieblich. Zu beobachten ist, wie oft Harnesses an der Pflicht scheitern, Thinking-Blöcke zu erhalten, und ob die Kompaktierung in der API günstiger ist als eigene Lösungen. Im Gespräch wurde außerdem eingeräumt, dass CPU für Anthropic derzeit knapp ist und sich virtuelle Maschinen nicht auf Abruf hinzubuchen lassen. Das wird sich in Limits und Preisen von Managed Agents zeigen, lange bevor es in einem Podcast auftaucht.

Liliths Urteil

Anthropic hat seinen Agenten in einen Raum gesetzt, in dem kein Passwort herumliegt, und ein Proxy reicht die echten Zugangsdaten erst am Ausgang an. Wer Tokens heute noch als Umgebungsvariable in die Sandbox steckt, legt die Brieftasche direkt neben Code, den der Agent gerade aus dem Internet geladen hat.