在 Amazon Bedrock AgentCore 上以安全控制运行远程 Claude Code 会话

该示例面向已在本地通过 Amazon Bedrock 使用 Claude Code 的团队，把编码任务改为远程交接：提交任务后可关闭笔记本，结果以 GitHub pull request 形式返回，由人工评审合并，智能体本身不具备合并权限。 架构上，Claude Code 通过本地 MCP 服务器或 CloudFront 托管的 Web 控制台提交任务，经 API Gateway 和 Lambda 调用 Bedrock Guardrails 筛查提示词，再写入 DynamoDB 并进入 SQS 队列。调度器为每个任务启动一个 AgentCore runtime 会话，每个注册仓库对应独立 runtime 和 ECR 中的容器镜像，镜像内含 Claude Code CLI、Claude Agent SDK、git 和 make。 会话运行在独立 microVM 中，具备隔离的 CPU、内存和文件系统，位于 VPC 私有子网并通过私有端点访问 Amazon Bedrock。智能体经 AgentCore Identity 获取 GitHub token 克隆仓库，检索 AgentCore memory 中此前任务积累的经验，用 Claude Opus 规划、Claude Sonnet 编写改动，再执行仓库自带的 setup 和 test 命令，最后由 Claude Opus 复核，最多尝试 3 次。 安全控制方面，模型调用仅走 Amazon Bedrock 私有端点并由 runtime 的 IAM 执行角色签名；GitHub App 的 client secret 存于 AgentCore Identity token vault，容器获得的有效期 8 小时的 user-to-server token 自动刷新；Guardrails 使用 Standard tier 在低强度下拦截越狱、提示词注入、恶意请求和 AWS 密钥等机密，被拦截时返回 PromptBlockedByGuardrail。IAM 角色仅可调用 Anthropic 模型、读写本仓库任务记录与 memory，并被显式拒绝访问 AgentCore Identity 控制平面。 部署需 15–25 分钟，注册仓库另需 8–12 分钟，要求 Docker 构建约 1.3 GB 的 ARM64 镜像、Python 3.11+、Node.js 22.12+，以及带 setup 和 test 目标的 Makefile 或 package.json。方案适用于可信仓库的范围明确的功能、缺陷修复与测试，不适合不可信代码和开放式任务。