只用你拥有的文件约束编码智能体四个杠杆的对照实验原文Tessl Blog《How to constrain a coding agent using only files you own》https://tessl.io/blog/how-to-constrain-a-coding-agent-using-only-files-you-own一个只过了一分的实验作者给自己的编码智能体一个工单但没有给它任何规范文件。这个仓库有三代历史一个 2026 年写对一切的领域层被一个 2023 年的巨型文件和 2021 年被冻结、谁都不许碰的模块以十比一的数量压过去。智能体从头到尾没打开正确的代码它去改了那个巨型文件用 random.randint 掷骰子且完全不设随机种子还两次伸手进冻结模块。评分器有八项检查结果只过了一项。仓库本身没坏智能体只是照着眼前的代码抄了一遍——所有本来能拦住它的东西都是作者当时还没写的文件。「写个 CLAUDE.md」只是四个杠杆中的一个写规范文件的建议到处都是这建议本身没错但那个文件只是四个杠杆之一另外三个就躺在同一个仓库里、同样属于你。作者把「约束」拆成四种文件杠杆位置作用指令 InstructionCLAUDE.md用现在时描述这个仓库是什么约束 Constraint.claude/rules/按路径生效的规则每条都带上引发它的那次事故的日期能力 Capability.claude/commands/、.claude/skills/、.claude/agents/、.claude/settings.json、.mcp.json智能体能够到什么、被允许运行什么检查 Check.claude/hooks/什么会拒绝它能力杠杆上还有四级台阶一条命令、一个技能、一个子智能体、一个 MCP server。怎么判断某个东西属于哪一级作者给了一个很实用的判别法把它拿走如果智能体能力变弱它就是能力如果它干同样的活、只是干得更差那你写的其实是一条规则只不过被包装成了技能。先做一个自检# 看看你的仓库里到底写了几种杠杆ls-R.claude/如果输出只有一个 settings 文件那你拥有四个杠杆却只发了一个。两个杠杆靠说服一个靠拒绝指令会被读路径规则也会被读。凡是被读的东西都可以被辩论——当周围的代码和规则互相矛盾时智能体会把自己说服过去。能力杠杆不参与辩论因为它改变的是「能够到什么」而不是「相信什么」。hook 根本不被读。它是回合内执行的一个谓词直接返回一个拒绝没有谈判空间。作者的实现大约四十行 Python一头挂在 PreToolUse 钩子上在写入发生之前拦截另一头是 make gate也就是 CI 跑的那条命令。同一个谓词两个挂载点逻辑不重复。# 示意写法一个谓词两个挂载点非官方实现字段以官方文档为准ALLOWED_PREFIXsrc/features/defin_scope(path:str)-bool:这次写入是否落在本工单允许的范围内。returnpath.startswith(ALLOWED_PREFIX)defpre_tool_use(tool_name:str,args:dict):# PreToolUse 在工具执行前调用返回 block 即拒绝iftool_nameWriteandnotin_scope(args.get(file_path,)):return{decision:block,reason:改动超出本工单范围}returnNone这段只是用来说明「同一个谓词挂在两处」这个形状。钩子的具体字段名与返回结构随版本演进以官方文档为准。规则要和代码「有分歧」才有价值一条你的代码库本来就遵守的规则约束不了任何东西。智能体照着模仿也能得到相同答案你无法判断到底是规则起了作用还是模仿起了作用。所以规则要写在「规则和代码互相矛盾」的地方。工作坊仓库里就有一组矛盾一个模块从会话中推导请求权限另一个模块直接从请求体里读权限。两种写法都在线上跑、都能用。规范文件必须做出选择——它的职责就是告诉智能体照哪一个抄。这也是绝大多数「事后补规范」的实际工作内容。机械可判定与无法判定九项检查里八项程序能给出结论改动是否留在范围内每次掷骰子是否都设了种子日志是追加还是重写其余几项都是同一类问题一个脚本就能不带任何意见地给出答案。第九项叫 authority.semantic问的是「这次权限检查对这个功能是否正确」。没有谓词能判定它所以评分器只能打印一个问号然后等人。在那次八项全绿的运行里一个审查子智能体读了 diff填上了第九列给出三个真实缺陷其中一个是权限 bug处理器用会话里的地牢主持人身份做判断于是玩家读取自己角色存档的请求被拒了而验收标准第 4 条要求放行。评分全绿不等于改动正确它只意味着「没有机械可发现的错」。这段距离就是人工审查注意力该放的地方。怎么把这套方法用在自己的仓库上作者的复现路径很短拿一个工单先在完全没有规范文件的仓库上跑一遍用你事先写好的检查项打分——这一遍就是「事故」之后每写一条规则都要能指回它接着一次只加一个杠杆重跑同一个工单并说清楚是哪个杠杆推动了哪一项检查。他自己在同一张工单上跑出的对照是裸跑改动 3 个文件、新增 49 行、八项过一项加上规范文件后改动 3 个文件、新增 102 行、八项全过。改动更大的那一版才是更好的那一版——这一点值得先说清楚免得有人开始优化「改动行数」。跑完你大概会发现两件事有些规则什么也没约束住因为代码本来就同意它们以及至少有一条你真正在乎的规则任何机器都判定不了——那正是最值得占用人力的一条。约束编码智能体的一切最终都是你拥有的文件。唯一的问题是这四个杠杆你到底写了几个。