Agentes de código deixam o notebook. A AWS e a Databricks mostram o caminho: gateway, microVM, pull request
Uma amostra da AWS roda tarefas do Claude Code em microVMs isoladas e retorna pull requests; a Databricks leva Claude Code e Codex ao seu gateway de modelos. Cada uma corrige um controle, não todos.
Ouça este artigo · 4 min
Narração completa do artigo, gerada por IA.
Hoje um agente de código costuma rodar no notebook de um desenvolvedor, com as credenciais desse desenvolvedor, o acesso à rede e o que estiver no diretório pessoal dele. Funciona, e é a frase que o time de segurança menos gosta de ouvir no ano.
Dois lançamentos no início de novembro mostram para onde isso caminha. Nenhum é um lançamento de produto no sentido usual, e é por isso que são úteis: eles descrevem o encanamento.
AWS: uma tarefa, uma microVM, um pull request
Uma amostra da AWS publicada em 6 de novembro roda o Claude Code como agente remoto no Amazon Bedrock AgentCore. Um desenvolvedor envia uma tarefa por um plugin do Claude Code ou por um console web. Um guardrail filtra o prompt, a tarefa entra na fila e uma sessão de runtime do AgentCore começa para o repositório, isolada na própria microVM dentro da conta AWS do cliente.
O agente clona o repositório com um token de GitHub de curta duração emitido pelo AgentCore Identity, consulta a memória de tarefas anteriores, planeja e revisa com Claude Opus, escreve código com Claude Sonnet e executa os comandos de setup e teste do próprio repositório. Ele para depois de três tentativas. O resultado é um pull request que registra o comando de verificação, seu código de saída e as tentativas usadas, marcado como verificado ou não verificado. O agente nunca faz merge.
A rede é privada, as chamadas de modelo vão apenas para o Bedrock por um endpoint privado, e o papel IAM do runtime tem acesso negado ao plano de controle de identidade.
Onde a amostra da AWS desenha seus limites
Conta AWS do cliente
- Sub-redes privadas
- Acesso a modelos somente via Bedrock
MicroVM por tarefa
- Sessão nova por repositório
- Token de GitHub de curta duração
Agente de código
- Executa comandos do repositório
- Abre um pull request, nunca faz merge
Databricks: os mesmos agentes, pelo gateway da empresa
A Databricks deu um passo mais estreito. As notas de lançamento de novembro da Databricks disponibilizam Claude Code e Codex em sessões de túnel SSH, com solicitações de modelo roteadas pelo Unity Gateway, o gateway de modelos governado da Databricks, e autenticadas com as credenciais da própria sessão. Gastos com funções de IA agora também entram nos orçamentos do Unity Gateway, e uma GitHub Action em beta publica skills de agente gerenciadas pelo Git no Unity Catalog.
Esse é o controle que descrevemos quando a Databricks cortou os próprios custos de IA para programação pelo gateway: um lugar para ver, definir orçamento e limitar quais modelos os agentes de código chamam.
O que cada passo corrige, e o que deixa em aberto
O desenho da AWS corrige onde o agente roda e o que ele pode tocar. O desenho da Databricks corrige quais modelos ele chama e quem paga. Juntos, eles descrevem o estado-alvo. Separados, cada um deixa lacunas, e os autores da AWS nomeiam as deles com honestidade:
- O guardrail vê apenas o prompt. Instruções escondidas em arquivos do repositório ou na saída de comandos não são filtradas. A injeção de prompt vinda do próprio código-base continua possível.
- O agente executa os próprios comandos do repositório. A amostra não foi feita para código não confiável. Um script de build malicioso roda dentro da microVM.
- O firewall de DNS é uma denylist. Ele não bloqueia outro tráfego HTTPS.
- Orçamentos avisam; não bloqueiam. O orçamento padrão de US$ 200 mensais do Bedrock envia e-mail, não limita o gasto, e o deploy gera cobrança enquanto fica ocioso.
A direção está certa
Tirar os agentes de código dos notebooks transforma um endpoint sem gestão em uma carga de trabalho com conta, rede, identidade e log. O pull request vira a fronteira, que é onde a revisão já acontece.
Isso também concentra carga nessa fronteira. Agentes que abrem pull requests sem parar vão sobrecarregar as filas de revisão e a CI, uma sobrecarga que vimos quando a Anthropic criou controle de código-fonte para agentes em escala. Planeje a capacidade de revisão antes dos sandboxes, ou a fila vira o novo notebook.