每一步都盯着，反而是拖累

每一步都盯着，反而是拖累

一年前你学的那套 Claude Code 用法，如今可能正是效率的天花板。

在 CLAUDE.md 里写满「重要！」，每一步盯着批准，跑一小段就停下来纠正——这些做法在模型还不够聪明的年代是对的。Anthropic Claude Code 团队的 Lydia Hallie 最近在一场演讲里，逐条把这些旧习惯拆掉了。她的身份合适：她就在这个团队里做开发者体验，讲的是他们自己每天在用的东西。

先看一个数字。2026 年 5 月，Anthropic 内部每天大约 2500 次代码变更；到 9 月，超过三万次。五个月，十二倍。撑起这个数字的不是更多人加班，而是会话形态变了：他们同时跑几十个会话，每个跑几小时，自己验证结果。人从「每一步都在循环里」退了出来——但退出来之后，盯人的活总得有人接。接手的是四层东西，一层比一层硬。

第一层：提示词，最软的一层

很多人的第一反应是把规矩写进 CLAUDE.md。但 Hallie 给了一条反直觉的建议：CLAUDE.md 只留 Claude 从代码里看不到的东西——比如那个没被任何文件引用、但收费逻辑依赖着的历史遗留数据源。技术栈、目录结构不用写，它自己会看。至于「重要！」这种强调，实测效果是让模型跑偏、工具调用变多。

提示词的另一个问题是：它是概率，不是保证。八月的一项研究里，只有约 14% 的人抓出了明显危险的命令；换 auto mode 的独立分类器来审，能拦下 89%——可仍然有约十分之一漏过去。八月中旬起，auto mode 成了 Pro、Max、Team 套餐新会话的默认权限模式，每个动作先过一道分类器再执行。比人盯强，但它终究是个模型，模型就有看走眼的时候。

第二层：deny 规则，确定性的底线

要百分之百的保证，只能在工具层写死。deny 规则在分类器之前检查——不给模型商量的余地，命中就拒绝。哪些命令值得写进去？Hallie 给的判断标准很干脆：做错一次，还能不能收回来？写错代码，回滚就行，交给模型；丢掉未提交的改动、读到密钥、读到 .env，这些收不回来，必须写成规则。

第三层：沙箱，管到运行之后

权限规则有个盲区：它管得到 Claude 自己敲的命令，管不到命令运行之后的事。npm test 跑的是你没写的代码——依赖包、构建脚本、临时工具。一旦供应链被投毒，那段代码可以读走 .env 和 SSH 密钥往外发，而你逐条批准的习惯恰好帮了它：人会疲劳，疲劳的人会点「允许」。

解法是把限制下推到操作系统级：沙箱圈定 Claude 能读哪些文件、写哪些目录、连哪些主机，对所有子进程生效。Anthropic 自己的研究帖给过数字：沙箱让权限弹窗少了 84%——不是安全换效率，是安全和效率一起涨。

再往前一步是云端会话：一台独立机器加一份全新的仓库副本，合上笔记本也继续跑。关键设计是机器上根本没有机密——.env、SSH 密钥、GitHub token 都不放上去，需要调 API 就走网络密钥，密钥本身不必发给模型。但 Hallie 点了一层窗户纸：机器是可以丢弃的，从机器里出去的东西不可以——一旦 commit 推了出去、connector 消息发了出去，就收不回来了。所以到了这一层，deny 规则依然要保留，而且随仓库提交。

检查点代替通读

人退出去之后，怎么知道结果可信？靠读完每一行不行——同一段迁移认证的 prompt，模型可能留下旧 API、可能只对新登录生效、也可能把所有人登出，三种结局都是「跑完了」。所以要设能返回通过或失败的检查点：测试、构建、截图。写在 prompt 里不是保证，必须执行的用 hook 钉死。

这里有个极容易踩的细节。测试失败时，多数工具的退出码是 1。但在 Claude Code 里，hook 退出码 1 不算阻断——任务照样被标成「已完成」。官方文档写得明白：退出码 2 才是阻断错误，模型才会停下动作、读着错误信息回去修。一字之差，一个是「我知道失败了」，一个是「我回去修了」。

最后一层：连编排都交出去

每个会话最终都开 PR，CI 对每一个跑同样的检查，失败的项 Claude 自己修。团队里每个 PR 先由另一个全新上下文的 Claude 会话审一遍；人工审阅按风险分级——文档文案类可以不碰，高风险改动要两个审阅者。这个团队怎么审 AI 写的代码，我上次写过，这次要说的是他们更进一步的用法：只留一个主会话做调度——Claude Code 的 projects 功能还在 beta，主会话拆任务、启动其他会话、跟踪返回、自动验证，自己一行代码不写，只做判断和评估。

就在这场演讲传播的同一周，Ars Technica 报道了一件事：Claude Code 用户把允许规则的「不再询问」选项连同里面的内容提交到了公开仓库，2539 个密钥因此泄露在 1994 个仓库里——数据库密码、云密钥、API token、SSH 登录。权限疲劳不是理论风险，它刚刚在几千个仓库里兑现过。分层防御不是过度设计，是学费已经交过的账单。

Hallie 的收尾是个具体的动作，值得照抄：挑一件比你平时交给它的大得多的任务，先确认 CI 能抓住你在意的问题，然后看会话卡在哪一环——卡住的那一环，就是你下一件可以交出去的事。

*信源：AI Engineer 频道对 Lydia Hallie（Anthropic Claude Code 团队）演讲《Rethinking Claude Code Best Practices》的提炼（原片 2026-11-12，17:31）。归属核于 ai.engineer 与 master.dev 讲者页；auto mode 8 月 14 日默认化、分类器不计费核于 Claude Code Week 32 官方日志与 claude.com 公告；hook 退出码 2 = blocking error 核于 Claude Code Hooks 官方文档；沙箱降 84% 权限弹窗核于 Anthropic 研究帖《Making Claude Code safer with sandboxing》；云端会话与网络密钥核于官方文档；2500→30000+ 日变更数在 AI Engineer 官方播客页得到独立印证（「roughly 2,500 code changes a day in May 2026 to more than 30,000 a day in September 2026」，与素材逐字对上）。14% 抓出危险命令与 auto mode 拦 89% 为演讲内引述的八月研究数字，原文未单独核到，按转述层级照录。2539 密钥泄露 1994 仓库为 Ars Technica 2026-11-09 报道（演讲未提，同期时事补充）。*