话说当时,我正跪坐在 Claude Code 源码审读的第三天,忽然对一件事好奇起来。
这套系统到底在做什么来管理安全,以及,安全形状的语境是在什么时候被注入进智能体的?
我决定把那批泄露的 Claude Code 源码翻个底朝天——就是 3 月 31 日 npm sourcemap 事件里被扒出来的那个约 51.2 万行 TypeScript 流水线——结果发现,有好几种机制可以把安全形状的文本送进模型可见的语境,而且都绕开了正常的可见聊天流。
好几层,不是一个注入器
第一观察:这看起来并不像某个悬在每场对话头顶的巨型实时情绪分析引擎。里面确实有些东西看着挺实验性,不在主线构建里,比如一个基于启发式的挫败感探测器。但那块似乎并不在应用的编译版本里。
代码所暗示的是:政策形状的语境可以经由流水线的好几层抵达模型。有的一部分从一开始就建在基础提示词里。另一部分走隐藏提醒和元消息机器,用户在这些渠道里看到的从来不是正常聊天。工具调用再叠上自己的一层,尤其围绕文件读取;许可与风险判定则可以由另一套分类器逻辑平行塑形。
换句话说,你不需要一个单体式的秘密注入器,这种效果也可以成为真实存在的系统行为。你只要建出足够多的分层控制面,在用户无法直接看见的地方塑形模型可见的语境,就够了。
我觉得大家太急着挥手打发掉的那部分,恰恰在这里。
Claude 似乎会在对话中途猛地转入强硬安全姿态,此类报告很多。有些情况下,人们晒出过证据,看起来模型像是在回应不可见的政策形状文本。
标准反应一直是把它们斥为困惑、阴谋论,或者轻易被一个产生幻觉的模型骗了。
这次泄露并不能证实那些主张里最极端的每个版本。
但它确实展示了足够多的真实流水线机械结构,让一些更宽泛的报告显得可信。
说句公道话,这些不是全新的事,其中一些在 Anthropic 的文档里已经在高层面上讨论过。但我认为,这次 Claude Code 泄露是我们头一回真正看着这台机器运转。
治理模式
对构建者来说,这才是真正的要点所在。
这里的安全堆栈,看起来不像一个显而易见、被螺栓拧到 SDK 上的分类器,更像一个分布在提示词、隐藏语境、工具序列化、许可判定以及提供方侧的拒绝之间的治理模式。
而这才是更有用的思考起点。