AnthropicはMessages APIをRustで書き直し、エージェントの手が届かない場所に認証情報を移した

AnthropicはClaudeにMessages API全体をRustで書き直させ、先週本番環境への展開を終えた。Claude Platformを率いる2人がポッドキャスト「Latent Space」で明かした。ただ、エージェントを作る開発者にとってより重要なのは、同社がエージェントの頭脳を手足から、そして秘密情報から切り離す方法だ。

シャドートラフィックで検証したRust移植で、CPUを40〜50 %削減したとAnthropicは言う

Katelyn LesseはClaude Platformのエンジニアリングを、Angela Jiangはプロダクトを率いている。Latent Spaceとの107分のインタビューは、Opus 5.5公開の翌日に収録された。ゲストによれば、1年前のMessages APIは、Google Cloudの単一リージョンで動くPythonのモノリスだった。先週、AnthropicはこれをRust版に完全に置き換えた。

言語よりも面白いのは進め方だ。チームにはRustの経験豊富な開発者が一人もいなかった。人間がアーキテクチャと検証方法を設計し、コードはClaudeが書いた。API全体のフォークを作り、そこにシャドートラフィックを流して、Python版とRust版が同じ応答を返すかを照合した。ゲストはCPU削減を40〜50 %、最初のトークンまでの時間の改善を10〜20 %と見積もる。本人たちもこれを大まかな見積もりだとしている。

二つ目の話題は蒸留対策だ。研究者が独自モデルからreasoning tracesを抜き出す手法を示し、Anthropicはその穴をふさいだ。現在は、会話のターンをまたいでthinkingブロックを保持することを求めている。これはサードパーティのharness、特に独自にコンテキストを圧縮するものを壊す。インタビューによれば、同社はAPI自体に圧縮機能を追加し、オープンソースのharnessのメンテナーに事前に連絡したという。

Managed Agentsは頭脳を手足からも認証情報からも切り離す

開発者にとって最も実用的なのはClaude Managed Agentsの部分だ。エージェントの頭脳であるharnessは、永続的なサーバーで動く。手足、つまりコードを実行するサンドボックスやコンテナは、必要になったときにだけ作られる。サンドボックスが落ちても、エージェントは生き続ける。最初のバージョンは、サンドボックスにClaude Codeを入れてAPIをかぶせただけのものだった。起動に時間がかかり、コンテナが落ちるとエージェントごと消えた。

セキュリティはほとんど副産物として手に入った。MCPサーバーやCLI、APIの認証情報は別の保管庫にある。エージェントに見えるのはプレースホルダーだけだ。本物の認証情報は、外へ出るリクエストにプロキシが差し込む。サンドボックスには許可ドメインのリストを設定でき、ネットワークを完全に切ることもできる。エージェントが書いて実行したコードには、盗むものも送り出す先もない。

この教訓は、自前のエージェント実行基盤を作るすべての人に当てはまる。問うべきは三つだ。障害を生き延びるべきものは何か。信頼できない処理を実行するのはどこか。コードが動く場所に本当に置く必要のある秘密はどれか。自作の仕組みの多くは、いまだにトークンを環境変数でコンテナに渡している。

Anthropicはサンドボックス脱出を訓練時の問題とするが、独立した検証はない

これはあくまで自社製品を語るベンダーの話だ。CPUとレイテンシの数字は見積もりとして示されただけで、手法も負荷の種類ごとの内訳もない。文字起こしも自動で話者の区別もなく、Latent Space自身が名前や表現が正確でない可能性を断っている。

サンドボックス脱出についての主張も慎重に受け止めるべきだ。ゲストによれば、話題になっている事例は訓練中のモデルで起きたもので、そこではエージェントに不可能な課題が与えられ、箱から抜け出す動機がある。本番環境ではオンラインの安全対策と分離されたアーキテクチャがあるという。この区別には一理ある。しかし本番のprompt injectionにモデルの動機は要らず、信頼できない入力があれば足りる。分離された保管庫は認証情報を守る。だが、エージェントが正当にアクセスできるデータまでは守れない。

決め手は状態を持つMessages APIと、思考の保持がいくつのharnessを壊すか

ゲストは次の一手もほのめかした。長い会話の状態をMessages API自体が保持し、クライアントが毎回履歴全体を送り直さなくて済む仕組みだ。長時間のエージェント実行では、時間と通信量の節約になる。その代わり会話はAnthropicのサーバーに長く残ることになり、EUの企業はデータがどこにどれだけ保存されるのかを確認する必要が出てくる。

二つ目のシグナルは運用面だ。thinkingブロック保持の義務でharnessがどれだけ壊れるか、APIの圧縮機能が自前の仕組みより安くつくかに注目したい。CPUが今のAnthropicにとって希少で、仮想マシンを必要に応じて追加できないことも認められた。その影響はポッドキャストより先に、Managed Agentsの利用上限や価格に表れるだろう。

Lilithの判定

Anthropicはパスワードが一つも置かれていない部屋にエージェントを座らせ、本物の認証情報は出口でプロキシが手渡す。いまだにトークンを環境変数でサンドボックスに渡している人は、エージェントがネットから落としたばかりのコードのすぐ隣に財布を置いているのと同じだ。