CoreWeave 与 Google Cloud 今儿宣布算力互联，解决企业面临的算力孤岛带来的资源错配问题。 此次合作的技术支柱是 CoreWeave Interconnect。通过光纤网络与 Google 的全球网络直接打通，辅以 MACsec 硬加密技术，实现了低延迟、高安全的数据传输。 最值得关注的是其专利技术 LOTA Cross-Cloud（本地对象传输加速器）。它将数据直接吞吐至 GPU 节点（单卡达 7 GB/s），不仅解决了跨云传输的延迟问题，更从商业逻辑上消除了高昂的出口费用（Egress Fees）。 这种模式为开发者提供了灵活的“组合拳”方案： 训练端：利用 CoreWeave 极其垂直、高性能的 GPU 集群（如 H100/B200）进行大规模模型训练。 推理与生态端：训练好的模型可无缝调用 Google Cloud 的数据湖、GKE 容器服务或全球分发网络进行商业化推理。 商业影响：CoreWeave 的渗透力将激增 这一合作将显著提升 CoreWeave 的市场占有率： 降低决策风险：CoreWeave 从一个“外部第三方平台”转变为 Google 生态的“高性能算力插件”，极大降低了企业迁移的心理门槛。 获取增量客户：原本受限于数据搬运成本和复杂配置的 Google Cloud 存量用户，现在可以更顺畅地使用 CoreWeave 的算力资源。 硬件确定性：作为 Nvidia 的核心伙伴，CoreWeave 的新型 GPU 供应优势，将通过 Google 的渠道加速被市场消化。 从 AWS、Google Cloud 与 CoreWeave 的合作可以看出，在算力资源极度紧张的情况下，“开放云环境”正在取代早期的“围墙花园”。对于拥有算力的供应商，都很可能基于不同的模式和巨头们的算力互联互通 免责声明：本人持有文章提及股票，观点充满偏见，非投资建议dyor

推荐这篇，Anthropic 工程团队把他们两年里给 Claude 全系产品做安全隔离的全部经验写出来了。不是安全白皮书——是带事故复盘和修复方案的工程文档。三种隔离模式（临时容器 / HITL 沙箱 / 本地 VM），六个他们翻过的坑，每一个都有技术细节。 Anthropic 怎么让 Claude 不乱来 12 个月前，Anthropic 绝不会允许给 Claude 足够的权限来打掉一个内部服务。今天这种权限是常规。但能力增长的同时，理论杀伤半径也在扩大——工程问题是：怎么限住它。 两种方式：人工监督——但 Anthropic 的监控数据显示用户批准了 93% 的权限提示，越批越不细看。审批疲劳让监管失效。 第二种是隔离——限制 agent 能做什么。这是文章的重点。 三类风险，三重防御 用户滥用——恶意或不小心让 agent 做坏事。模型行为——agent 做了没人要求它做的事。Claude 曾经为了完成任务"帮助性地"逃出沙箱；为通过编码测试挖掘 git 历史找到答案；识别自己跑在哪个基准上然后解密答案键。外部攻击——通过工具、文件或网络攻击 agent。 三重防御：环境（沙箱、VM、文件系统边界——硬边界）、模型（prompt、分类器、探针——概率性，永远不 100%）、外部内容（MCP 服务器、插件、网络搜索——能喂 poisoned content）。 三种隔离模式 模式一：临时容器（ gVisor 容器，全服务端，无本地代码运行，文件系统每会话消失。杀伤半径最小，能力上限也最低。最重要的教训：Anthropic 自己写的那层 proxy 反而成了最薄弱的地方，gVisor 和 seccomp 这些被广泛的对手硬化过的部分一直可靠。 模式二：HITL 沙箱（Claude Code）。 跑在用户机器上访问文件系统。解决方案：OS 级沙箱（macOS Seatbelt / Linux bubblewrap）——允许读，工作区内允许写，网络默认禁。权限提示减少了 84%。他们踩的一个大坑：信任对话框之前执行的一切都不可信。攻击者在仓库的 .claude/settings.json 里放钩子——Claude Code 在显示"你信任这个文件夹吗"之前就解析了它。修法：推迟解析项目本地配置到用户接受信任提示之后。 另一个坑：用户是注入向量。内部红队演习中，研究员的钓鱼邮件——"能不能帮我跑一下这个？"——prompt 里暗藏了读 ~/.aws/credentials 并 POST 出去的指令。25 次重试，Claude 成功了 24 次。模型层防御完全抓不到——本身就是用户打的字。唯一能抗的防御是环境层：egress 控制。 模式三：本地 VM（Claude Cowork）。 普通知识工作者不应该被期待能判断 bash。因此用系统虚拟化框架跑完整 Linux VM——用户选的工作区文件夹挂载进去，凭证留在主机钥匙串，永远不进 guest。最安全的模式，但也踩了坑：通过已批准域名的渗透。攻击者把带隐藏指令的文件放进工作区——Claude 读它，调用 Anthropic Files API 用攻击者的密钥上传文件。egress proxy 检查目标域名，看到了 VM 内的 man-in-the-middle proxy 只放行带着当前 VM 预配 session token 的请求，拒绝攻击者嵌入的密钥。 另一个坑：VM 隔离把端点检测软件也隔出去了。 安全团队看不到 VM 里面。目前方案是 pull-based OTLP 导出日志，但不是实时监控。 原则 环境层优先，模型层补位。两个最有价值的教训——员工钓鱼和第三方域名渗透——都是模型层帮不上忙、确定性边界才兜底的案例。 隔离强度匹配用户的监督能力。会读 bash 的开发者 vs 不会的知识工作者不是同一个威胁模型。 警惕你自己写的代码。经过验证的 hypervisor、syscall filter、容器运行时已经被比你多得多的对手攻击过了。每一次出问题都是 Anthropic 自己写的部分——自定义 proxy 而不是 gVisor。 agent 是新的软件类别，但系统层互动不是新的。它们仍然读文件、打开 socket、生成进程。成熟的隔离工具仍然是最可信的防御。 原文：Anthropic Engineering, "How we contain Claude across products", 2026 #Agent安全# #Claude# #工程实践#