我评估了7个生产级代理运行时，对照7项标准：优势、权衡以及各自的实际适用对象

我收集了能找到的代理运行时，并根据对我们生产部署至关重要的方面进行了比较：资源效率、与厂商代理（Claude Code、Codex 等）的协作能力，以及安全层。混合了闭源和开源平台，希望两者都能覆盖。如果漏掉了你希望包含的平台，请在评论中告诉我。同样，如果有你希望比较但未涉及的维度，也请告知。我会补充并以回复形式添加。为了保持实用性：这里关注的是运行时层，而非框架层。LangChain / LlamaIndex / CrewAI / Mastra 等是用于编写代理的库。我在这里比较的是在生产环境中运行代理的组件：进程模型、隔离性、调度、凭据、网络。你通常两者都需要。我考察的七个运行时是：Cloudflare Agents、AWS Bedrock AgentCore、Google AX、Anthropic Claude Managed Agents、kagent、Vercel Open Agents 和 Agyn。 --- ## 七项标准 这些是后期很难改造的方面，因此我根据它们进行了评分： 1. 可自托管：你能否在自己的基础设施上运行编排循环？ 2. 多厂商代理：平台是否提供来自多个厂商（Claude Code、Codex 等）的预构建代理，可直接部署？ 3. 每个 MCP 服务器的隔离：每个 MCP 服务器运行在自己的容器中，使得被攻破的工具无法访问其他工具的密钥？ 4. 声明式配置：代理定义是否以版本控制的清单形式存在，而非命令式代码或网页表单？ 5. 无服务器执行：空闲时能否缩容到零？ 6. 凭据隔离：工具密钥是否从未进入 LLM 上下文？ 7. 零信任网络：每个代理是否拥有自己的身份，并默认拒绝访问？ 这些都不是差的平台。它们做出了不同的权衡。以下是每个平台优化的方向。 --- ## Cloudflare Agents 开源的 TypeScript SDK，用于在 Workers + Durable Objects 上构建有状态代理。 优势： `McpAgent` 提供了真正的隔离，每个 MCP 服务器都是独立的 Durable Object，拥有作用域凭据。WebSocket Hibernation 可能是同类中最干净的缩容到零的方案（计费暂停，SQLite 状态保持不变）。多代理通过 Durable Object 消息传递实现，代理之间可以直接寻址，这对于编排模式来说非常方便。 权衡： MCP 隔离仅适用于重写为 `McpAgent` 类的服务器。Workers 运行 V8 隔离沙箱，而非容器，因此现有的 Go/Python/Rust MCP 服务器无法隔离运行。不可自托管：SDK 需要 Durable Objects，但没有本地部署的等效方案。你需要自己编写代理循环。 最适合：拥有 TypeScript 能力并自行构建代理循环的 Cloudflare 团队。 --- ## AWS Bedrock AgentCore AWS 的托管运行时，于 2025 年 10 月发布。 优势： 默认提供会话级 Firecracker 微 VM 隔离。AgentCore Identity 是一个真正的 OAuth 令牌保险库。与 Claude 的深度集成：官方 Claude Code 示例、Marketplace 包，以及 AWS 上的 Claude Platform（2026 年 5 月）与原生 Managed Agents 和 MCP 连接器。Marketplace 目录中有 800 多个代理，是此列表中迄今为止最大的生态系统。 权衡： 仅限 AWS，无本地部署、气隙或自带 K8s 路径。声明式配置混合。Managed Harness 是真正的声明式（`model + system_prompt + tools`），但自定义容器路径将循环恢复为命令式 Python/Node，资源图是 AWS 方言（IAM、ECR、KMS、VPC）。多代理使用 Bedrock 的监督者模式，该模式有效，但将编排拓扑锁定到 AWS 原语。 最适合：锁定 AWS 的企业团队，他们希望深度集成 Bedrock + Claude，并且不介意锁定。 --- ## Google AX Google 的开源分布式代理运行时（Apache-2.0），于 2026 年 5 月宣布。 优势： 如果多代理是你的核心问题，那么这就是 A2A 平台。Agent-to-Agent 协议通过树内桥接适配器成为一等公民，因此任何兼容 A2A 的代理都可以插入（将 Claude Code 或 Codex 包装为 A2A 服务器是一个有文档记录的方案，并非 AX 内置功能，你需要自行包装）。持久执行作为原语，带有事件日志用于恢复和轨迹分支。通过 GKE Sandbox 和 Kata Containers 进行沙箱执行。可在任何 Kubernetes 上自托管。 权衡： 预览版。Google 明确表示“这些接口在稳定版本发布之前可能会发生变化”。树内仅提供三个远程代理适配器。MCP 出现在架构图中，但未在运行时中实现。关键的是，安全故事（保险库凭据、mTLS、零信任）存在于托管的 Gemini Enterprise Agent Platform 中，而非 `google/ax`。 最适合：希望使用 A2A 风格的多代理编排并且能够承受预览 API 的 K8s 团队。 --- ## Anthropic Claude Managed Agents Anthropic 的托管平台（公开测试版，2026 年 4 月）。Claude Code Cloud 是构建在其上的旗舰应用。 优势： Anthropic 策划的 MCP 连接器无需手动设置认证即可工作。如果你是仅使用 Claude 的用户，这是列表中“首个代理所需时间”最短的。Git 凭据模型独特：专用代理强制执行不变量，模型永远不会看到 GitHub 令牌。Vaults 是一个服务器端凭据代理，保险库凭据永远不会进入沙箱。子代理生成内置于 SDK 中，用于分层编排。 权衡： 不可自托管，代理循环按设计运行在 Anthropic 上。仅限 Claude，不支持 Codex 或其他模型。通过 API 声明式而非清单（命令式 SDK 使用，而非 CRD 或 HCL 模块）。Vaults 仅限 MCP；非 MCP、非 Git 的工具密钥仍位于模型可读取的环境变量中。 最适合：构建仅限 Claude 代理的团队，他们希望从零到交付的最快路径。 --- ## kagent 代理作为 Kubernetes 的一等公民对象。CNCF 项目，1000+ 星。 优势： 自定义 Kubernetes 资源提供了强大的声明式能力，代理可以插入现有的 Argo/Flux 流水线，无需新工具。提供用于基础设施运维的预构建代理（K8s、Istio、Helm、Argo、Cilium、Prometheus、Grafana）。agentgateway 是一个真正的基于 Envoy 的 MCP 网关，支持 OAuth。通过 AutoGen 系列中的代理团队支持多代理。 权衡： 始终在线，代理作为长生命周期的 Pod 运行。核心无缩容到零功能。LLM API 密钥存储在 Kubernetes Secrets 中，作为环境变量挂载；代理代码直接读取它们。预构建代理仅限基础设施运维，没有 Claude Code、Codex，也没有面向产品/代码生成工作流的内容。 最适合：在始终在线的基础设施运维工作负载中运行少量长生命周期代理的 K8s / SRE 团队。 --- ## Vercel Open Agents Vercel Labs 的参考模板（MIT，2026 年 4 月）。不是具有 SLA 的支持产品。 优势： 架构清晰，安全原语比“模板”所暗示的更好。AI Gateway 自带密钥，使用 OIDC，使 LLM 提供商密钥远离代理函数。Vercel Sandbox 防火墙执行基于 SNI 的出站过滤，提供了真正的（尽管是沙箱范围内的）零信任姿态。Workflow SDK 提供持久执行。 权衡： 按原样不可自托管，Sandbox、Fluid compute 和 AI Gateway 是闭源的 Vercel 服务。配置是命令式 TypeScript；没有代理的 CRD、YAML 或 Terraform。没有平台管理的 MCP 隔离。这是一个模板，而非运行时，你需要分叉并自行维护。 最适合：在 Vercel 上分叉启动器以构建编码代理 SaaS 的产品团队。 --- ## Agyn 开源的（AGPL-3.0）Kubernetes 上的代理平台。 优势： 代理以 Docker 容器形式运行，平台将其视为黑盒。Claude Code、Codex 和 Agyn 自身的代理已准备好部署，切换只需一行配置。每个 MCP 服务器在自己的容器中运行，并带有作用域凭据。出口网关在网络层注入凭据，因此无论供应商是否支持 OAuth，LLM 都不会看到工具密钥。每个代理通过 OpenZiti 拥有自己的加密身份，内部服务默认被阻止，除非明确允许。有状态且无服务器：代理在调用之间保持状态，空闲时缩容到零，负载时水平扩展。整个设置通过 Terraform 声明。 权衡： 不是用于从头构建代理的框架