AWS executa o Claude Code remotamente: uma microVM para cada tarefa

Um agente de programacao remoto resolve um problema conhecido: o Claude Code local e util apenas enquanto o notebook esta aberto, o ambiente esta disponivel e a tarefa nao exige uma longa execucao de testes. A AWS propoe transferir esse processo para o Amazon Bedrock AgentCore. O desenvolvedor descreve a tarefa, fecha o notebook e, mais tarde, recebe um rascunho de pull request com as alteracoes e o resultado da validacao.

O mais importante aqui nao e simplesmente o fato de o Claude ser executado na nuvem. O valor esta no perimetro de controle ja montado: um ambiente separado para cada tarefa, acesso temporario ao GitHub, conexoes privadas com os servicos da AWS, uma funcao de IAM restrita e revisao humana obrigatoria. O agente pode escrever codigo, mas nao pode fazer o merge por conta propria na branch principal.

Como uma tarefa e executada

Imagine um pequeno bug: uma API retorna 500 em vez de 404 quando um registro nao e encontrado. O desenvolvedor envia a descricao pelo plugin do Claude Code ou pelo console web. A solicitacao e assinada com credenciais da AWS, verificada pelo Amazon Bedrock Guardrails, armazenada no DynamoDB e colocada em uma fila do SQS.

O dispatcher inicia uma sessao separada do AgentCore Runtime. Cada tarefa recebe sua propria microVM, com processador, memoria e sistema de arquivos isolados. Claude Code CLI, Claude Agent SDK, git e make ja estao instalados nela. O agente recebe um token temporario do GitHub, clona o repositorio e consulta as orientacoes salvas de execucoes anteriores do projeto.

Em seguida, o Claude Opus prepara um plano, enquanto o Claude Sonnet implementa as alteracoes. O agente executa os comandos de instalacao e teste definidos pelo proprio repositorio. Depois, o Opus revisa o resultado e, se necessario, devolve o trabalho para uma nova rodada. Sao permitidas ate tres tentativas. Ao final, o agente cria uma branch como agent/<taskId> e abre um pull request informando o comando de validacao, seu codigo de saida e o numero de tentativas. Se os testes falharem, o pull request permanece como rascunho.

De onde vem a seguranca

O container nao recebe chaves permanentes da AWS. As chamadas aos modelos passam pelo Amazon Bedrock usando credenciais temporarias de IAM fornecidas pelo ambiente de execucao. O GitHub App e instalado apenas nos repositorios selecionados, e o token emitido para o agente permanece valido por ate 8 horas. As permissoes se limitam ao conteudo do repositorio e aos pull requests, enquanto os commits sao assinados pela conta do aplicativo.

A rede tambem e restrita: o ambiente opera em sub-redes privadas de uma VPC e acessa o Bedrock e outros servicos da AWS por endpoints privados. O acesso a internet e necessario para o GitHub e os registros de pacotes. No exemplo, os dominios do provedor dos modelos sao bloqueados pelo DNS Firewall, embora a AWS alerte explicitamente que uma lista de dominios proibidos nao controla todo o trafego HTTPS. Em producao, e necessaria uma lista de permissoes aplicada no nivel do AWS Network Firewall.

O Guardrails verifica a tarefa original em busca de tentativas de jailbreak, solicitacoes maliciosas e segredos. No entanto, os arquivos do repositorio e a saida dos comandos nao passam por essa verificacao. Portanto, uma instrucao maliciosa escondida em um README ou script de compilacao continua sendo um risco. O isolamento por microVM protege as outras tarefas e o notebook do desenvolvedor, mas nao torna seguro um codigo nao confiavel.

O que a equipe deve fazer

O ideal e comecar com tarefas bem delimitadas em um repositorio confiavel: um pequeno recurso, a correcao de um bug ou a adicao de testes. O projeto deve oferecer comandos reproduziveis de setup e test, e a branch principal deve ser protegida por revisao obrigatoria. Pesquisas abertas e grandes refatoracoes sao menos adequadas: o agente esta limitado a tres tentativas e, durante a execucao, e mais dificil orienta-lo do que em uma sessao local.

Tambem existe um custo. A implantacao leva de 15 a 25 minutos, enquanto o registro do repositorio exige mais 8–12 minutos. NAT Gateway, endpoints de rede, WAF, Cognito, DNS Firewall, armazenamento de imagens e logs geram cobrancas mesmo quando nao existem tarefas ativas. Um orcamento de 200 dolares apenas envia uma notificacao; ele nao interrompe os gastos.

A conclusao pratica e simples: isto nao e apenas “Claude Code em um servidor remoto”, mas um modelo para uma fabrica gerenciada de pull requests. A proposta pode interessar a equipes que precisam de tarefas paralelas em segundo plano, auditoria na AWS e isolamento em relacao aos notebooks de trabalho. Mas ela so deve ser colocada em operacao com protecao de branches, controle do trafego de saida, limites de gastos e uma regra rigida: o agente propoe alteracoes, e uma pessoa decide o que chega a producao.