AWS запускает Claude Code удалённо: одна microVM на каждую задачу

Удалённый coding agent решает знакомую проблему: локальный Claude Code полезен, пока ноутбук открыт, окружение не занято, а задача не требует долгого прогона тестов. AWS предлагает вынести этот процесс в Amazon Bedrock AgentCore. Разработчик формулирует задачу, закрывает ноутбук, а позже получает черновик pull request с изменениями и результатом проверки.

Здесь важен не сам факт запуска Claude в облаке. Ценность — в собранном контуре: отдельная среда на каждую задачу, временный доступ к GitHub, приватные соединения с сервисами AWS, ограниченная IAM-роль и обязательное человеческое ревью. Агент может написать код, но не может самостоятельно слить его в основную ветку.

Как проходит одна задача

Представим небольшой баг: API возвращает 500 вместо 404, когда запись не найдена. Разработчик отправляет описание через плагин Claude Code или веб-консоль. Запрос подписывается AWS-учётными данными, проверяется Amazon Bedrock Guardrails, сохраняется в DynamoDB и попадает в очередь SQS.

Диспетчер запускает отдельную сессию AgentCore Runtime. Для каждой задачи создаётся собственная microVM с изолированными процессором, памятью и файловой системой. Внутри уже находятся Claude Code CLI, Claude Agent SDK, git и make. Агент получает временный GitHub-токен, клонирует репозиторий и смотрит сохранённые подсказки от предыдущих запусков этого проекта.

Дальше Claude Opus составляет план, а Claude Sonnet вносит изменения. Агент запускает команды установки и тестирования, объявленные самим репозиторием. Затем Opus проверяет результат и при необходимости возвращает работу на новый круг. Всего предусмотрено до трёх попыток. В финале агент создаёт ветку вида agent/<taskId> и открывает pull request, где указывает команду проверки, код её завершения и число попыток. Если тесты не прошли, pull request остаётся черновиком.

Где здесь безопасность

Контейнер не получает постоянных AWS-ключей. Вызовы моделей идут через Amazon Bedrock с временными IAM-данными среды выполнения. GitHub App устанавливается только в выбранные репозитории, а выданный агенту токен действует до 8 часов. Права ограничены содержимым репозитория и pull request, коммиты подписываются учётной записью приложения.

Сеть тоже ограничена: среда работает в приватных подсетях VPC, а к Bedrock и другим сервисам AWS обращается через частные точки подключения. Выход в интернет нужен для GitHub и реестров пакетов. В примере домены провайдера модели блокируются через DNS Firewall, однако AWS честно предупреждает: список запрещённых доменов не контролирует весь HTTPS-трафик. Для продакшена нужен разрешающий список на уровне AWS Network Firewall.

Guardrails проверяет исходное задание на попытки взлома, вредоносные запросы и секреты. Но файлы репозитория и вывод команд через эту проверку не проходят. Поэтому вредоносная инструкция, спрятанная в README или скрипте сборки, остаётся риском. Изоляция microVM защищает другие задачи и ноутбук разработчика, но не превращает недоверенный код в безопасный.

Что делать команде

Начинать стоит с узких задач в доверенном репозитории: небольшой фичи, исправления бага или добавления тестов. В проекте должны быть воспроизводимые команды setup и test, а основная ветка — защищена обязательным ревью. Открытые исследования и большие рефакторинги подходят хуже: агент ограничен тремя попытками, а во время выполнения им сложнее управлять, чем локальной сессией.

Есть и цена. Развёртывание занимает 15–25 минут, регистрация репозитория — ещё 8–12 минут. NAT Gateway, сетевые точки подключения, WAF, Cognito, DNS Firewall, хранилища образов и журналы оплачиваются даже без активных задач. Бюджет в 200 долларов лишь присылает уведомление и не останавливает расходы.

Практический вывод простой: это не «Claude Code на удалённом сервере», а заготовка управляемой фабрики pull request. Она интересна командам, которым нужны параллельные фоновые задачи, аудит в AWS и изоляция от рабочих ноутбуков. Но запускать её стоит только вместе с защитой веток, контролем исходящего трафика, лимитами расходов и жёстким правилом: агент предлагает изменения, человек решает, что попадёт в продукт.