自托管安全责任
自托管仅将文件操作和命令执行交给自托管 worker，会话事件和模型调用仍由 AgentAPI 管理。请核对数据流、凭证和执行隔离；自托管不保证数据不出网。
确认数据流与访问范围
用户消息、工具定义、工具参数和工具结果会进入 AgentAPI，并按模型调用需要传给模型服务。文件在 worker 上处理时，读出的内容也可能通过工具结果进入模型上下文。请根据业务的数据要求控制输入和工具输出。
native 的网页工具和直接配置的 MCP 连接由 AgentAPI 执行。仅在内部网络可访问的服务，应通过 worker 中的自定义工具访问，并回传必要的结果；这些工具仍需自行校验权限。执行路径见自托管执行器。
分离三类凭证
| 凭证 | 用途 | 保存与传递 |
|---|---|---|
| 已绑定的 MaaS API Key | 账户级 API 调用，例如创建会话与资源管理 | 保留在应用服务端或运维系统，避免传入智能体可执行命令的进程环境。 |
| 环境密钥（Worker key） | 轮询指定环境的工作队列并回传结果 | 通过密钥管理系统提供给 worker，避免写入镜像或日志；疑似泄露时在 Portal 撤销并轮换。 |
工作项的会话凭证 secret |
访问当前会话获准使用的记忆等资源 | 只传给处理该会话的执行实例，避免存入镜像、共享卷或日志。 |
CLI 和兼容 SDK 使用 ANTHROPIC_ENVIRONMENT_KEY、ANTHROPIC_WORK_SECRET 等变量名。这些名称来自客户端约定，其值应为 AgentAPI 返回的对应凭证。记忆访问不能用环境密钥代替会话凭证，见使用记忆存储。
请监测凭证异常使用并及时轮换。撤销环境密钥在 worker 的后续请求中生效。
隔离执行环境
工具以 worker 进程的权限运行。请根据任务的信任边界分离环境、执行实例、工作目录和网络权限，避免不受信任的代码读取其他会话的文件或凭证。
- 镜像与进程权限：验证镜像来源，移除不需要的 Linux capabilities，以非 root 用户运行；只读根文件系统需为工作目录等必要路径保留可写空间。AgentAPI 不验证镜像或 worker 构建。
- 网络出口：通过 VPC、防火墙或沙箱网络策略限制 worker 访问的服务。环境中的云端网络配置不能替代自有基础设施上的出站控制。
- 文件挂载：只提供任务所需目录，避免挂载宿主机凭证或其他会话的数据。多个会话使用同一个记忆存储时，为每个会话提供独立文件系统。
- 工具审批：在自定义工具实现中校验参数、业务身份和操作权限。AgentAPI 的工具权限策略不能替代这些校验。
保护记忆副本
SDK worker 在 /mnt/memory/ 下维护并同步记忆副本，正常退出时清理目录。强制终止可能留下目录及未同步内容，需由业务系统清理并限制访问。
read_only 禁止文件工具写入及记忆写回，但不使本地目录只读。bash 或可写文件的自定义工具仍可能修改副本，影响后续读取。
如果必须保证本地视图不被任务修改，请禁用 bash，限制其他工具的写入能力，并配置执行环境的访问控制。准备目录与同步策略见记忆存储接入。
管理日志与数据清理
会话内容和工具结果可能留存在 worker 日志、工作目录和监控系统中。需要按业务要求脱敏、限制访问并设置保留期限。AgentAPI 中的归档、删除或历史脱敏不会自动清除自有基础设施上的副本。
停止 worker 时，应先取消正在处理的工作，为记忆上传和目录清理留出时间，再回收执行实例。强制停止工作项只改变服务端状态，不能保证宿主机进程已经退出；请同时检查基础设施上的实际进程与资源。