Agent 失败时，怎样找到第一个错点？

这份文档说明 Claude Code 如何以 allow、ask、deny 规则和不同 Permission Mode 控制工具、命令、路径与外部访问，并明确 deny 优先于 ask 和 allow。它也说明权限由客户端执行而不是依赖模型遵守，以及权限、Hook、工作目录与 Sandbox 如何组合形成纵深防御。

这份文档界定了 Claude Code Sandbox 对 Bash 命令及其子进程施加的文件系统和网络边界，并区分自动允许与常规审批模式。它同时明确 Read、Edit、Write 等内置文件工具仍由权限系统控制，Sandbox 不是覆盖所有工具和桌面操作的通用隔离层。

这份指南以格式化、阻断危险命令、权限处理、通知和上下文注入等例子说明 Hook 适合确定生命周期事件上的自动化。它支持产品经理把必须执行的治理规则从概率性 Prompt 中移出，并理解多个匹配 Hook 并行执行时的合并与副作用风险。

这份参考文档定义 Session、Prompt、Tool、Permission、Subagent、Compaction 等 Hook 事件及其输入输出协议。它还区分 command、HTTP、MCP tool、prompt 与 agent handler，并说明异步 Hook、阻断决策、超时和 Subagent Hook 的具体限制。

这份材料展示 OpenAI 在真实内部工作流中如何组合 Sandbox、Approval、网络策略、身份凭证、规则和管理员强制配置。它也说明 Agent 原生遥测如何记录用户意图、审批、工具、MCP 与网络决策，让安全团队能够审计发生了什么以及为什么发生。

这份文档定义 Trace 与 Span，并说明 Agents SDK 默认记录 Agent 运行、模型生成、工具调用、Handoff、Guardrail 和自定义事件。它支持课程把轨迹观测落到可实现的数据结构，同时提醒默认 Trace 可能包含模型及工具输入输出等敏感数据，需要显式配置采集与导出策略。

该文件展示 Session Actor 怎样统一接收命令、模型 Turn 完成、工具与 MCP 事件、会话状态和停止事件，再启动下一段工作或进入 Idle；它证明生产 Loop 还要管理并发事件、生命周期与恢复，而不是只有“模型想一步、工具做一步”。

该文件把 Always Approve、Auto、Ask 模式、策略 allow/deny/ask、MCP 授权记忆、命令拆分、安全命令判断和人工 Prompt 编排进同一个确定性权限管理器。它支持把权限设计理解为 Harness 的决策与状态系统。

这段固定提交源码展示 Hermes 如何检查工具名和 JSON 参数、限制委派数量、去重调用，并用结构化工具结果把可恢复错误送回下一轮。它直接证明生产级 Agent Loop 在模型输出与真实动作之间还需要确定性处理。

这段固定提交源码先持久化工具调用，再交给执行器产生真实副作用；若工具 Guardrail 阻断，则写入明确的受控终止原因。它证明工具执行、恢复与用户可见状态需要由 Harness 收口。

这段固定提交源码定义 Turn 结束时的预算耗尽、回退与完成判定，并把轨迹保存、资源清理和清理错误纳入统一关账。它支持课程把 completed 视为需要系统证据与退出处理的状态，而不是模型的一句话。

这段固定提交源码在 Turn 结束时修复未闭合的工具消息序列，并把最终消息和会话状态持久化；持久化失败会作为清理错误保留，而不是静默伪装成完整成功。

官方安全指南覆盖 confused deputy、token passthrough、SSRF、session hijacking、最小 scope、用户同意和本地 Server 信任。

当前文档公开工具结果裁剪、头尾保护、结构化摘要、重压缩和缓存策略，并说明摘要模型窗口不足时中段上下文可能在无摘要情况下被丢弃。