紧箍咒清单：检验任何 Agent 壳的 18 条红线

为什么会有这张清单

三天里，我连着撞上三件结构相同的事：

• 一个曾经很好用的轻壳，在”变严肃”之后坏掉了；
• 一次 agent 运行时的大版本升级，把我自己的环境按在地上滚了一整天；
• 一个内测的桌面 Agent，把一个模型的能力包进了一个它自己都看不透的盒子里。

它们看起来是三种毛病，其实是同一件事：都不是能力退步，而是”被看得见、被调得动”的能力被一层层关掉了。

于是我把这三天踩过的东西，收成一张清单。它不针对任何一家产品——它是一张自查表：挑壳、评壳、或者自己设计壳的时候，逐条打勾。

总原则

壳的价值 = 替你挡掉环境的熵，同时别把观测面一起挡掉。

四组能力：能看 / 能调 / 能停 / 能修。缺一组，这个壳就只能干低风险的活。

一、能看（可观测）

1. 成本可见：每回合 token / 费用 / 余额，实时可读，不用翻日志；
2. 过程可见：CoT 或至少工具调用及参数可见；看不到的时候，要明确说”这里看不到”；
3. 状态可见：当前权限档位 / 沙箱范围 / 思考预算，一眼可查；
4. 信号不许说谎：进度与状态必须反映真实；宁可不显示，不许显示反的。（”假卡死”是重罪：你以为它死了，其实它在跑，于是你重启它——那是在杀一个正在干活的进程）；
   • ⚠️ 同一能力多套实现时，权限语义必须一致：否则模型会习惯性走那条被禁的路（实测：bash 工具被标为非只读的写工具而整体被拒，真正只读的是另外两个专用工具）
5. 变更可见：更新日志要能回答”我上次那个问题修了没有”——按问题组织，不按作者的心情组织。

二、能调（可干预）

6. 权限档位可查、可改，且至少有一条降级通道（临时放行，而不必永久放开）；
   • ⚠️ 如果权限分了好几层（全局配置 / 会话姿态 / 通道姿态 / 项目规则 / hook），必须能看出当前生效的到底是哪一层——否则你改完了上面那层，下面那层还在拦，而且没有任何提示。这比”旋钮找不到”更坏：可发现，但被欺骗。
   • ⚠️ 别把”累积的精确放行记录”当成学习：一条一命令的 allow 不会泛化，老命令放行、新命令重新审批——看起来在学，实际一条没学着；
   • ⚠️ 显式配置必须压过预设：用户亲手写下的值，不能被任何”预设 / 模板 / 推荐档”静默覆盖——尤其是往更严的方向。配置与行为不一致就是 bug，最坏的情况是你按配置推断行为、推断出来的是反的（实测案例：用户写 bash=off，预设覆盖成 enforce，行为直接变成”拒绝一切”）
7. 思考预算可调；即使不可调，也必须明确它是多少、由谁定；
8. 沙箱范围 / 工具白名单可由用户配置；
9. 旋钮要可发现：能调的必须在界面和文档里找得到；不能调的必须明说”不可调”，而不是让它消失。

三、能停（可中断、可回退）

10. 停止要真的停：能中断正在跑的任务，且状态一致，不留半截；
11. 危险操作前必须有确认点，而且确认入口必须可达——批准按钮点了没人响应，等于没有防线；
12. 改动可看、可撤：文件 diff、撤销路径；
13. 会话与记忆可移植：换壳、换机器能带走，不用私有格式锁人。

四、能修（可诊断）

14. 备用旁路必须独立：诊断工具不能和主程序共享同一个故障域。（用缩小版的桌面端去排查桌面端，等于没有旁路）；
15. 错误必须携带身份（错误码 / 类型），不能只是一句自然语言；
16. 故障时能拿到原始日志、原始请求；
17. 门禁自己要能被检验：测试与断言必须证明过”它会失败”；不能失败的绿灯不算绿灯；

• ⚠️ 自检工具的结论必须同源于运行时行为：doctor / status 报”配置快照”而不是”运行时实际值”时，它是伪证——比没有这个工具更坏（实测：配置说 off、doctor 说 available:true、文档说 Windows 强制 off，三层信号全绿，而运行时是 enforce → 拒绝一切）
• ⚠️ 证据要异质：同一批自我描述互相印证（读三份说明书）不算验证；不能反证的东西，按未验证处理

18. 失败可复现：同样的输入能重放。

判定规则

• 任一项”说不清” → 按 bug 处理，不按”体验问题”；
• 四组缺一组 → 这个壳只能干低风险的活；
• 一句话版本：如果模型和用户都说不清”现在是什么状态”，那就是壳的 bug。

三个已发生的反例（速查）

案例	破在哪
一个轻壳的”严肃化”	能看：显示层崩坏（屏幕抖、七八行重叠飞出、重新打开才稳）、假卡死、更新日志写成散文；能调：权限不是一层而是好几层叠着（会话姿态 / 通道姿态 / 历史 ask 痕迹 / 项目级 allow 噪音），改了上面那层下面还在拦，且不提示生效的是哪层；能修：cli 是桌面端的缩小版，共享故障域——排查手段被锁进同一个盒子
一次 agent 运行时的大版本升级	能停 / 能调：审批闸门抬得太高，且批准入口不通——点了”批准”网关收不到，命令全部悬空，表现为”它不理我”；最后靠整机回滚才恢复
一个内测桌面 Agent 壳	能看：思考预算不可见，且没有入口可调；能调：无降级通道；能修：模型被关在看不见边界的盒子里，只能自己编解释

一句话

这些”紧箍咒”的初衷通常不坏——怕你乱来，也怕模型乱来。但代价是：你既不能干预，也不能诊断。

而它的账单，是每个用户、每一次任务，都在替它交。

---

两篇相关的长文：

• 《定力不在模型里，在壳里》——同一个模型，换个壳，从”顶住”变成”跪”
• 《壳是怎么把责任藏起来的》——从四个”看得见”到一个个”关掉”