信任设计：透明、可控与隐私

这份文档把 Claude Code 的 Agent Loop 描述为收集上下文、采取行动、验证结果三个相互交织的阶段，并说明模型与工具如何通过结果反馈持续调整。它还解释 Claude Code 作为 Harness 所承担的上下文管理、执行环境、会话、压缩、检查点和权限职责。

这份文档说明 Claude Code 如何以 allow、ask、deny 规则和不同 Permission Mode 控制工具、命令、路径与外部访问，并明确 deny 优先于 ask 和 allow。它也说明权限由客户端执行而不是依赖模型遵守，以及权限、Hook、工作目录与 Sandbox 如何组合形成纵深防御。

这份文档界定了 Claude Code Sandbox 对 Bash 命令及其子进程施加的文件系统和网络边界，并区分自动允许与常规审批模式。它同时明确 Read、Edit、Write 等内置文件工具仍由权限系统控制，Sandbox 不是覆盖所有工具和桌面操作的通用隔离层。

这份文档区分由人维护的 CLAUDE.md 持久指令与由 Claude 写入的 Auto Memory，并描述它们的作用域、加载顺序、存储位置和容量边界。它强调这些内容会作为上下文影响模型，而不是不可绕过的技术策略，并支持用户检查、修改和删除记忆。

这份指南以格式化、阻断危险命令、权限处理、通知和上下文注入等例子说明 Hook 适合确定生命周期事件上的自动化。它支持产品经理把必须执行的治理规则从概率性 Prompt 中移出，并理解多个匹配 Hook 并行执行时的合并与副作用风险。

这份文档说明 Claude Code 如何通过 MCP 连接外部工具、资源、提示与事件渠道，以及 local、project、user 等配置作用域。它支持讲清 MCP 是外部能力连接协议而不是 Agent 的推理核心或长期记忆，并覆盖认证、连接、超时和共享边界。

这份指南面向产品与工程团队，给出 Agent 使用场景判断、Model/Tools/Instructions 基础结构、单 Agent 与多 Agent 编排和 Guardrail 设计。它支持从复杂决策、难维护规则和非结构化信息出发选择场景，并强调先强化单 Agent、从小范围真实用户验证开始。

这份材料展示 OpenAI 在真实内部工作流中如何组合 Sandbox、Approval、网络策略、身份凭证、规则和管理员强制配置。它也说明 Agent 原生遥测如何记录用户意图、审批、工具、MCP 与网络决策，让安全团队能够审计发生了什么以及为什么发生。

这份官方材料定义 Agent、Environment 与 Session 三类生产资源，并说明 Brain/Hands 分离、持久事件、凭证代理、可恢复状态和自托管执行环境。

官方说明 Auto Mode 会在工具调用前用分类器评估潜在破坏性动作，风险低于完全跳过权限，同时承认仍可能误放行危险动作或误拦截正常动作。

现行规范定义 HTTP MCP 的 OAuth 2.1 角色、Protected Resource Metadata、Resource Indicators、scope、token audience、PKCE 和授权错误处理。

官方安全指南覆盖 confused deputy、token passthrough、SSRF、session hijacking、最小 scope、用户同意和本地 Server 信任。

当前文档说明 Hermes 使用有字符上限的 MEMORY.md 与 USER.md、会话开始时冻结注入、写入审批、安全扫描，以及基于 FTS5 的 Session Search。

当前文档说明 Agent 可以创建、修改和删除 Skill，并通过 write_approval 将更改暂存供人工检查；Skill 被定义为按需加载的程序性记忆。

该同行评审 benchmark 用 1,054 个测试覆盖工具型 Agent 的间接 Prompt Injection、用户伤害和私有数据外泄。