Anthropic 在过去一年围绕 Claude 的智能体能力放出了三块拼图：让模型学会中途停下来思考的 think 工具、把 MCP 服务器部署压缩成一次双击的 Desktop Extensions、以及用操作系统级沙箱约束 Claude Code 的自主行为。三篇工程博客看似各管一段，实际回答的是同一个问题：模型真正开始动手做事之后，能力上限和安全底线怎么同时保住。
推理层：think 工具补的是哪一段
2025 年 3 月 Anthropic 发布的 think 工具，想法很朴素。在 Claude 生成回答的过程中插入一个专门的思考步骤，让模型有机会判断手上的信息是否足够支撑下一步动作。
这里容易混淆的一点：think 工具和 extended thinking 不是一回事。extended thinking 管的是模型在开始生成响应之前的深度规划；think 工具管的是生成响应之后、执行动作之前的那次自查。前者是动手前的深思，后者是动手中的停顿。长链条工具调用、长多轮对话，是它最适配的场景。
τ-bench 数据说明了什么
Anthropic 用 τ-bench 做评估。这个基准模拟真实客服场景，考察模型能否在复杂政策约束下稳定调用工具。主指标 pass^k 衡量 k 次独立试验整体成功的概率，关注一致性，而不是至少成功一次。
航空领域，Claude 3.7 Sonnet 的表现：
| 配置 | pass^1 | pass^2 | pass^3 | pass^4 | pass^5 |
|---|---|---|---|---|---|
| think + 调优提示词 | 0.584 | 0.444 | 0.384 | 0.356 | 0.340 |
| think（无提示词） | 0.404 | 0.254 | 0.186 | 0.140 | 0.100 |
| extended thinking | 0.412 | 0.290 | 0.232 | 0.192 | 0.160 |
| 基线 | 0.332 | 0.206 | 0.148 | 0.116 | 0.100 |
零售领域，think 工具即使不加额外提示词，pass^1 也到了 0.812，高于基线的 0.783 和 extended thinking 的 0.770。
几条值得记住的结论：
提示词在困难领域很关键。航空领域政策复杂，光给工具收益有限，配上怎么思考的示例提示词后提升明显；零售领域政策相对简单，给工具就能见效。
一致性提升能延续到 k=5，说明这个工具有助于处理边缘情况。
SWE-bench 上，Anthropic 为 Claude 3.7 Sonnet 加入类似的 think 工具，拿到 0.623 的当时最优成绩。实验显示该工具平均带来 1.6% 的表现提升（Welch’s t 检验：t(38.89)=6.71，p<.001，d=1.47）。
什么时候不该用，Anthropic 也划了线：非顺序工具调用、简单指令遵循这两类场景，加 think 基本没有收益，反而增加提示词长度和输出 token 开销。
2025 年 12 月 15 日，Anthropic 在原文顶部补了一条说明：extended thinking 能力已大幅改善，大多数情况下推荐直接用 extended thinking，而不是专门的 think 工具。这条自我修正本身说明，智能体的推理机制还在快速演进。
生态层：MCP 部署为什么让人头疼
2024 年 MCP 发布后，工程师写了大量本地服务器，让 Claude 能访问文件系统、数据库等资源。反馈高度一致：安装太复杂。
具体难在哪：需要预装 Node.js、Python 等运行时；要手动编辑 JSON 配置文件；要自己解决依赖冲突和版本不匹配；没有发现机制，找服务器只能翻 GitHub；更新靠手动重装。
2025 年 6 月，Anthropic 推出 Desktop Extensions，把整个 MCP 服务器连同依赖打包成一个可安装文件。用户链路简化为：下载、双击、点安装。
mcpb 包的结构与配置注入
Desktop Extension 本质上是一个 ZIP 归档，核心是 manifest.json：
extension.mcpb (ZIP archive)
├── manifest.json # 扩展元数据与配置
├── server/ # MCP 服务器实现
├── dependencies/ # 打包的依赖
└── icon.png # 可选：图标
Claude Desktop 承担了复杂度：内置 Node.js 运行时、自动更新、敏感配置存入系统密钥链。
manifest 支持三种服务器类型：Node.js、Python 和经典二进制/可执行文件。工程师可以在其中声明需要用户提供的配置，例如 API Key：
Claude Desktop 会渲染配置界面、校验输入、安全存储敏感值，并在启动服务器时把 ${user_config.api_key} 替换为真实值。${dirname} 则会被替换为扩展的解压目录。
命名规范更新：2025 年 9 月 11 日，Anthropic 将扩展文件后缀从 .dxt 改为 .mcpb（MCP Bundle）。旧 .dxt 扩展仍可继续使用，但新扩展建议用 .mcpb——功能完全一致，纯属命名标准调整。
Anthropic 开源了完整的 MCPB 标准、打包与校验工具、参考实现以及 TypeScript 类型和 schema。标准刻意标注为 0.1 版本，以便与社区共同演进。面向企业，Desktop Extensions 提供了组策略（Windows）和 MDM（macOS）支持、预装已批准扩展、屏蔽特定扩展或发布者、禁用扩展目录、上线私有扩展目录等能力。
安全层：沙箱换来的自主权
2025 年 10 月，Anthropic 为 Claude Code 引入沙箱功能。博客开篇点出一个真实矛盾：Claude Code 默认是只读的，任何修改或命令都要请求授权。频繁点击批准会拖慢开发节奏，还会导致批准疲劳——用户不再仔细看自己批准了什么，反而更不安全。
Anthropic 的解法是：与其让用户逐条审批，不如划定一个 Claude 能自由活动的边界。内部使用数据显示，沙箱将授权提示减少了 84%。
两个边界缺一不可。沙箱建立在操作系统级能力之上，同时启用两层隔离：
文件系统隔离：Claude 只能访问或修改特定目录，防止被提示注入后篡改敏感系统文件。
网络隔离：Claude 只能连接经过批准的服务器，防止敏感信息外泄或下载恶意软件。
原文特别强调，两者必须同时具备。没有网络隔离，被攻陷的智能体可能窃取 SSH 密钥；没有文件系统隔离，被攻陷的智能体可以轻易逃逸沙箱并获得网络访问授权。
沙箱运行时与云端执行
Anthropic 推出了一款新的沙箱运行时（研究预览版），允许精确定义智能体可访问的目录和网络主机，且无需启动和管理镜像的开销。它依托 Linux bubblewrap 和 macOS seatbelt 等操作系统原语构建，限制不仅覆盖 Claude Code 的直接交互，还覆盖命令产生的任何脚本、程序或子进程。
具体机制上：文件系统层面，允许对当前工作目录读写，阻止修改其外任何文件；网络层面，仅允许通过连接到沙箱外部代理服务器的 Unix 域套接字访问互联网，代理服务器对可连接域强制执行限制，并处理新请求域的用户确认。两个组件均可配置，用户可以自行选择允许或禁止特定文件路径或域。该运行时已开源。
同一时间发布的还有 Claude Code on the web，让用户在云端的隔离沙箱中运行 Claude Code。设计要点是：敏感凭据绝不与 Claude Code 同处沙箱内。它采用自建代理服务器透明处理所有 git 交互。沙箱内的 git 客户端使用专门生成的效用域凭据向该代理认证，代理校验凭据和交互内容（比如保证只推送到已配置分支），再附加对路的认证令牌发送到 GitHub。这样即便沙箱内代码被攻陷，用户仍能免受进一步伤害。
三层结构正在成形
把三篇材料放在一起看，一条清晰的工程脉络浮出来：
推理层解决模型想清楚了吗。think 工具和 extended thinking 都在为模型争取结构化的思考空间，差别只在介入时机。Anthropic 后续推荐 extended thinking，说明这一层仍在快速演进。
生态层解决能力如何被安全地接入。MCP 带来了协议，Desktop Extensions 解决了分发与部署，.mcpb 打包格式则试图成为跨应用的通用载体。
执行层解决模型动手时不越界。Claude Code 的沙箱用文件系统隔离加网络隔离，把逐条核准换成边界内自主。
这三层并非孤立：一个能自由调用工具的智能体，既需要 think 这样的推理缓冲，也需要 MCP 这样的能力接口，更需要沙箱这样的安全围栏。Anthropic 在材料中反复出现的一个判断是：安全性与自主性并非零和博弈，划定清楚边界反而能让模型跑得更快。
对开发者的三点借鉴
从 2025 年 3 月的 think 工具，到 6 月的 Desktop Extensions，再到 10 月的 Claude Code 沙箱，Anthropic 的工程博客展现出一条连贯主线：让智能体在明确的边界内尽可能自主。
复杂工具链场景中，为模型预留结构化的思考步骤，并配合领域示例提示词。
如果在构建本地 MCP 服务器，考虑用 .mcpb 打包以降低用户部署门槛。
如果在构建自主智能体，文件系统隔离与网络隔离应该成对构建，而非二选一。
按现有材料判断，智能体的能力上限与安全边界仍将是接下来一段时间的工程投入重心，而这三篇博客提供的，正是可落地的细化路线。
