大家好，我是人月聊IT。

今天继续跟着我和Claude学习Harness Engineering驾驭者工程。这个我在前面就谈到了是AI编程工程化的一个重点，核心是让AI软件工程更加安全，可控，可靠的运行。

在前面我就提出过一个观点，其实ClaudeCode这个编程工具就是Harness工程的**实践者。所以这篇文章看下Claude自身是如何进一步解释该事情。

关于本文：本文基于对 Claude Code 六大核心维度的深度研究，从 Harness Engineering（驾驭工程）哲学视角重新审视 Claude Code 的设计逻辑。文中涉及的架构图请见各节预留位置，读者可自行补充。

在软件工程的历史上，每一次能力跃升都伴随着一个相同的问题：如何让强大的工具为人所用，而不是让人被工具所驾驭？

汇编语言的出现让程序员从二进制中解放，但随之而来的是如何管理复杂指令序列的挑战；面向对象编程封装了复杂性，但同时引入了继承层级的治理难题；微服务架构带来了弹性与扩展性，却把分布式系统的复杂性全盘推给了工程师。

大型语言模型（LLM）驱动的编程工具，是这一历史轮回的最新章节。

Claude Code 是 Anthropic 于 2024 年底推出、2025 年全面成熟的命令行编程助手。到 2026 年初，它已从一个"能在终端运行的聊天机器人"演变为一个拥有多智能体编排、持久化调度、跨平台接管和企业合规能力的自主编程代理平台。Anthropic 内部数据显示，工程师的代码产出在过去一年增长了 200%；仅 2025 年 7 月，Claude Code 就处理了来自 115,000 名开发者的 1.95 亿行代码。

然而，能力的提升并不自动带来可用性的提升。Claude Code 被真正广泛采用的背后，是一套经过深思熟虑的设计哲学——Harness Engineering（驾驭工程）。

Harness Engineering 的核心思想并非新鲜事物，但在 AI 工具时代获得了新的生命力。

其核心立场是：与其试图完全控制或替代复杂系统，不如设计工具和接口来驾驭其内在的复杂性。"驾驭"（harness）这个词来自马具——它不消灭马的力量，而是为这种力量安装结构，使其沿着可预期的轨道发力。

应用到 AI 编程工具上，Harness Engineering 意味着：

Claude Code 是迄今为止最完整地实践了这一哲学的 AI 开发工具。下文将从六个关键维度逐一拆解。

注意在这里我有句关键提示，即：

请列出Claude Code实践了Harness Engineering的关键点。 我需要你从 1.工具集成调用 2. 上下文管理 3. 安全 4. 可控 5. 代码质量保障 6. 长周期静默运行等方面进行关键阐述。

基于上面的提示语，AI输出整体架构如下：

① 工具集成调用

Tool Search Tool 实现按需发现工具，Claude 仅加载当前任务实际需要的工具，与传统方式相比节省约 85% 的上下文 token，同时在大型工具库场景下大幅提升准确率。 Anthropic MCP（模型上下文协议）作为开放标准，让 Claude Code 可以读取 Google Drive 的设计文档、更新 Jira 工单、从 Slack 拉取数据，或接入自定义工具链。 Claude 这正是 Harness 思想的体现：工具不是 AI 的延伸，而是约束 AI 能力边界的结构化缰绳。

② 上下文管理

CLAUDE.md 在每次会话开始时被读取，用于设定编码规范、架构决策、首选库和审查清单；Auto Memory 跨会话积累学习成果，如构建命令和调试洞见，无需手动记录。 Claude Context Engineering 的核心理念是：模型已足够智能，瓶颈不是智能，而是上下文——每个组织有独特的工作流、规范和知识体系，AI 并不天然知晓这些。 Bojie Li 驾驭上下文，就是驾驭 AI 的行为。

③ 安全

企业级部署支持零数据留存和 SOC2 Type II 合规，以及专属企业实例。 Bonjoy Claude Code 通过 .claude/settings.json 管理项目级配置，Hooks 机制允许在特定操作点触发 shell 命令——这套架构的安全挑战也在于此：配置文件从被动数据变成了主动执行路径，需要建立新的信任边界。 Check Point Research Anthropic 已于 2025 年底修复了相关漏洞，这本身也是 Harness 思想的实践——持续收紧缰绳。

④ 可控

Checkpoints 功能让用户可以将代码、对话或两者同时回滚到先前状态，与版本控制结合使用效果更佳。Subagents 将专项任务并行委派，Hooks 在代码变更后自动触发测试套件，Background tasks 让长运行进程不阻塞主流程。 Anthropic 这些能力共同构建了一个"可信任的委派框架"——你可以放手，但随时能收回。

⑤ 代码质量保障

Claude Code 处理日常消耗时间的任务：为未经测试的代码编写测试、修复项目内的 lint 错误、解决合并冲突、更新依赖和编写发布说明。 Claude 自定义命令（如 /review-pr、/deploy-staging）将团队可复用的质量工作流打包共享，Hooks 在每次文件编辑后自动格式化、提交前自动 lint——质量门禁不是事后检查，而是内建于执行路径本身。

⑥ 长周期静默运行

Cloud Scheduled Tasks 运行在 Anthropic 托管的基础设施上，即使你的电脑关机也持续运行，可用于早间 PR 审查、夜间 CI 故障分析、每周依赖审计或 PR 合并后同步文档。 Claude 这是 Harness Engineering 最具代表性的体现：复杂系统在无人值守时，依然在被结构化地驾驭运转，而非自由生长或停摆。

当然，ClaudeCode还有其它很多的工程实践，类似多Agent机制，上下文压缩等，在这篇文章中不能一一列举，有兴趣的可以自己进一步梳理和分析。

3.1 工具集成调用：工具即缰绳，而非延伸

3.1.1 MCP：AI 集成的 USB-C 接口

Claude Code 的工具集成体系建立在 MCP（Model Context Protocol，模型上下文协议）之上。MCP 是 Anthropic 于 2024 年 11 月发布、此后捐献给 Linux Foundation 治理的开放标准，被业界称为"AI 集成的 USB-C 接口"。

MCP 的核心价值在于：在 MCP 出现之前，连接 AI 与外部工具需要为每一对组合单独开发集成，造成严重的碎片化。MCP 提供了一个通用协议——开发者只需在 agent 中实现一次 MCP，就能解锁整个工具生态。到 2025 年底，社区已构建了数千个 MCP 服务器，SDK 覆盖所有主流编程语言，并成为连接 agents 与工具数据的行业事实标准。

[架构图预留位置：Claude Code 工具集成调用层级架构图]（含 Claude Code → MCP 协议 → Tool Search/代码调用/Hooks/自定义命令 → 外部工具生态的四层结构）

3.1.2 内容统一模型：工具调用即思考延续

Claude 与其他 AI 平台的根本设计差异在于其内容统一模型：文本和工具调用都作为同一消息数组中的内容项，工具结果是"用户消息"而非单独角色，工具调用自然流动于对话之中，内容类型决定处理逻辑。

这不是技术细节，而是哲学立场：工具调用不是"函数调用的旁路"，而是思考过程本身的一部分。推理和行动被统一在同一个内容流中，AI 的意图和工具的执行紧密耦合。

3.1.3 Tool Search Tool：按需发现，节省 85% Token

当接入 5 个 MCP 服务器时，工具定义本身就可能消耗 5.5 万个 Token，在第一个字的回答之前就已经压缩了可用上下文。

Tool Search Tool 的设计解决了这个问题：与传统方式相比，它可以保留 191,300 个 Token 的上下文（传统方式仅 122,800），减少约 85% 的 Token 消耗，同时在大型工具库场景下准确率显著提升。Opus 4 在大型工具库评估中从 49% 提升到 74%，Opus 4.5 从 79.5% 提升到 88.1%。

3.1.4 最小权限：Claude 不知道它在操作 GitHub

这是 Harness Engineering 最精妙的体现之一：Claude 无需知道对方是 GitHub，它只需要看到一个叫 create_issue 的工具，带有 schema。认证、速率限制、错误处理全部发生在工具层，藏在协议背后。工具访问范围应与任务严格匹配——如果一个集成只需要读取仓库元数据，它就不应该拥有可以删除分支的凭据。

Harness 映射：工具是能力的缰绳，不是能力本身。Claude 思考决策，工具执行操作，MCP 传导意图——三者分工精确，职责不越界。

3.2 上下文管理：在有限窗口中精准驾驭

3.2.1 核心认知：智能不是瓶颈，上下文才是

Anthropic 在 AWS re:Invent 2025 的工程师分享中提出了一个关键洞见：Claude 已经足够智能——智能不是瓶颈，上下文才是。每个组织都有独特的工作流、规范和知识体系，Claude 并不天然知晓这些。

这一认知奠定了 Claude Code 上下文管理体系的整体基调：不是堆砌更长的上下文窗口，而是精准管理什么进入上下文、什么时候进入、以什么顺序进入。

[架构图预留位置：Claude Code 上下文管理三层时间架构图]（含会话开始时固定加载、会话进行中动态检索、接近上限时主动治理三个层次）

3.2.2 三层加载体系

CLAUDE.md（人类书写层）：每次会话开始时自动读取，设定编码规范、架构决策、首选库和审查清单。文件越具体简洁，Claude 执行越一致；文件越臃肿，遵循度越差，产生所谓的"Context Rot"（上下文腐化）。

Auto Memory（Claude 自写层）：Claude 在工作中自动积累学习成果，如构建命令和调试洞见，无需手动记录，跨会话持久化。内存工具通过文件系统在上下文窗口之外存储信息，让 agent 随时间积累知识库。

Skills（延迟加载层）：Skills 在会话开始时处于"精简模式"，只在被触发时才进入上下文——它占据的是上下文窗口末尾的高注意力区域，恰好在最需要专业知识的时刻出现。这种渐进式披露架构每次会话节省约 15,000 个 Token。

3.2.3 混合检索策略与 Context Rot 治理

Claude Code 采用混合检索策略：CLAUDE.md 文件在会话开始时直接写入上下文，而 glob 和 grep 等原语允许即时导航环境并按需检索文件，有效绕开了静态索引过期和复杂语法树的问题。

随着 Token 数量增长，准确率和召回率会下降，这一现象被官方 API 文档称为"Context Rot"（上下文腐化）。Claude Code 通过 Compaction 机制应对：当会话接近上限时，系统将消息历史传递给模型进行摘要压缩——保留架构决策、未解决 bug 和实现细节，丢弃冗余工具输出。在一项 100 轮网络搜索评估中，Context Editing 让 agent 减少了 84% 的 Token 消耗，并将性能提升 39%（对比基准）。

Harness 映射：上下文窗口是认知缰绳——不是越长越好，而是越精准越有力。三层机制共同驾驭有限注意力的边界。

3.3 安全设计：多层缰绳的精密组合

3.3.1 默认安全姿态

Claude Code 使用严格的只读权限作为默认姿态。当需要额外操作时（编辑文件、运行测试、执行命令），Claude Code 请求显式授权。"Fail-Closed 匹配"确保未匹配的命令默认需要手动审批，而不是默认放行；可疑的 bash 命令即使已在白名单中，也需要手动审批，同时提供自然语言解释。

[架构图预留位置：Claude Code 安全设计四层全谱图]（含默认安全姿态、三级权限体系、信任边界与 Hooks、企业合规与真实攻击面四层结构）

3.3.2 三级权限体系

权限体系类似"App Store 审核机制"的分层设计：

• Allowlist（白名单）：100% 无害命令自动批准执行，如 npm test
• Asklist（询问列表）：有用但有风险的命令每次需要二次确认，如 git push、docker run
• Denylist（拒绝列表）：硬性禁止执行，如 curl、访问 .env 文件——Claude 的尝试直接失败，无法绕过

建议优先用 Allowlist 作为第一道防线，Denylist 作为补充，这样更容易构建零信任环境。

3.3.3 Hooks：守卫与同谋是同一个对象

Hooks 是 Claude Code 安全架构中最深刻的设计，也是最微妙的地方。PreToolUse Hooks 在工具使用前执行，是执行自定义安全策略最强大的机制——不依赖 LLM 来记住并遵循指令，因此更可靠。

但 Hooks 的两面性同样值得正视：Hooks 定义存储在受版本控制的 .claude/settings.json 中，任何拥有提交权限的贡献者都可以定义 Hooks，当团队成员使用该项目时，这些 shell 命令会在他们的机器上执行。守卫和同谋是同一个对象。

Check Point Research 于 2025-2026 年披露的 CVE-2025-59536 和 CVE-2026-21852，正是利用了这一架构特性：通过恶意项目配置实现远程代码执行和 API 凭据窃取。Anthropic 快速响应并修复了所有已报告问题。这一事件揭示了一个更深层的安全命题：配置文件从被动数据变成了主动执行路径，这是 AI 工具时代的新信任边界。

3.3.4 企业合规层

企业级部署支持零数据留存（ZDR）、SOC2 Type II 合规和 ISO 27001 认证。Web 端 Claude Code 的每个云会话运行在 Anthropic 管理的独立隔离 VM 中；网络访问默认受限；认证通过安全代理处理，使用沙盒内的受限凭据，再映射为实际 GitHub 认证。

真正的安全模型不是单一的权限系统，而是设置作用域、信任验证、模式解析、Shell 验证、网络审批、沙盒边界和扩展表面的组合。

Harness 映射：安全不是单一边界，而是多条缰绳的精密组合。每一层都在约束 AI 能力的边界，整套体系的强度取决于最薄弱的那一环。

3.4 可控性设计：从"人批准每一步"到"AI 判断哪步需要人"

3.4.1 六种权限模式：可控性的连续谱

Claude Code 提供六种权限模式，从保守到激进依次为：

[架构图预留位置：Claude Code 可控性设计全谱图]（含六种权限模式连续谱、Checkpoints 回滚机制、Plan Mode 意图门禁、Subagent 隔离、Auto Mode 四层防护）

3.4.2 Checkpoints：后悔权的制度化

Claude Code 有两个安全机制：Checkpoints 让你撤销文件变更，权限控制什么操作无需询问即可执行。每次文件编辑都是可逆的——在 Claude 编辑任何文件之前，它会对当前内容做快照。通过双击 Esc 或 /rewind 命令即时回滚。

Checkpoints 只针对 Claude 发起的修改，不针对任意 Shell 命令或手动改动——它是 Claude 行为的保险绳，不是万能的版本控制替代品，应与 Git 配合使用。

3.4.3 Plan Mode：意图门禁

Plan Mode 把"规划"和"执行"在系统层面强制分离。原生 Plan Mode 实现了社区 hack 做不到的事：系统级强制执行——Claude 在你批准计划之前，物理上无法开始编码。

更妙的是其并行探索机制：当进入 Plan Mode 并描述一个复杂任务时，Claude 不是顺序探索，而是启动并行的 Explore 子代理——由轻量 Haiku 模型驱动的代理同时搜索代码库的不同部分，各自拥有独立上下文窗口，主 agent 接收摘要而不是完整的探索负担。

3.4.4 Auto Mode：2026 年的范式转变

Auto Mode 于 2026 年 3 月推出，解决了一个根本矛盾：每步审批产生"同意疲劳"（Consent Fatigue），开发者开始无脑点击确认；而完全放权（bypassPermissions）又抛弃了所有安全检查。

Auto Mode 的解法是在 Claude 和系统之间放置一个 AI 分类器，以机器速度做出审批决定。其四层防护体系依次为：permission rules（确定性规则）→ AI 分类器（上下文推理）→ Hooks（自定义逻辑）→ OS 沙盒（内核级隔离）。敏感操作获得人类监管，真正危险的操作被阻断。

Harness 映射：可控性不是"人管多少"的问题，而是"在正确的地方保留人的判断"——让 AI 判断哪些操作需要人，人只需关注真正重要的那些。

3.5 代码质量保障：质量不靠 AI 自觉，靠外部神谕

3.5.1 核心洞见：上下文越长，自我判断越不可靠

Claude Code 质量保障体系建立在一个深刻的认知上：不能相信 AI 的自我判断来保障质量，必须建立外部验证机制。

没有测试，Claude 验证工作的唯一方式就是自身的判断——而这种判断会随着上下文填满而退化。测试创造了一个外部神谕，无论会话运行多久，它的准确性始终如一。

[架构图预留位置：Claude Code 代码质量保障体系三层架构图]（含 TDD 外部验证神谕、Hooks 确定性质量门禁、多智能体 Code Review 三层结构）

3.5.2 TDD：最强的质量保障模式

Anthropic 推荐的 TDD 工作流分四步：先写测试（明确指定这是 TDD，避免 Claude 过早创建 mock 实现），确认测试全部失败，提交失败的测试作为检查点，然后才让 Claude 写实现、跑测试、修复失败、提交通过代码。

为确保实现足够健壮而不是"过拟合"特定测试，可以指示 Claude 使用一个独立的 Subagent 来独立验证实现——这种多智能体方式提供了多重视角，能发现更多问题。

3.5.3 Hooks：确定性的质量门禁

CLAUDE.md 指令大约 80% 的时间被遵守，Hooks 是 100%。三种 Hook 构成质量闸门链：

• PreToolUse Hook：唯一能阻断操作的 Hook，可以包裹 git commit，检查预提交通过标志，缺失则阻断提交，强制"测试并修复"循环直到绿灯
• PostToolUse Hook：编辑后自动格式化，TypeScript 类型检查，lint 错误反馈给 Claude，避免 CI 失败
• Stop Hook：响应完成后触发，跑构建脚本，错误少则反馈给 Claude，错误多则建议启动自动错误修复智能体

3.5.4 多智能体 Code Review：PR 层面的深度仲裁

Code Review 功能于 2026 年 3 月正式推出，背景是 AI 辅助编程导致 PR 数量激增，人工审查成为新瓶颈。

工作机制：多个专项智能体并行分析 diff 和周围代码，各自负责一类问题（逻辑错误、安全漏洞、边界情况、回归风险），然后通过验证步骤对照实际代码行为过滤假阳性，结果经去重、按严重度排序，作为内联评论发布在发现问题的具体行上。

Anthropic 内部实测数据：大型 PR（超过 1000 行改动）84% 发现了问题，平均 7.5 个；工程师普遍认同其发现，不到 1% 的发现被标记为不准确。在一次测试中，一行看似常规的生产服务改动本会快速获批，Code Review 把它标记为严重问题。

关键设计决策：Code Review 不阻断合并，只提供发现——它不合并、不审批、也不阻断 PR，而是添加发现来支持现有的人工审查工作流。

Harness 映射：质量不是靠 AI 的自觉，而是靠三条缰绳——TDD 测试是外部神谕，Hooks 是硬性约束门禁，多智能体 Code Review 是第三方深度仲裁。

3.6 长周期静默运行：时间维度的驾驭

3.6.1 范式转变：从同步到异步

长期以来，AI 工具本质上是被动响应的——等你提问，然后回答。Claude Code 的长周期运行能力改变了这个等式：你设定目标和时间，Claude Code 在你不在场时做工作，完成时报告结果。

这一转变的实质是：开发者从参与者变为任务设定者。不再是提示后等待每次响应，而是定义目标，让 Claude 自主运行，直到任务完成或达到停止条件。

[架构图预留位置：Claude Code 长周期静默运行四层全谱图]（含 /loop 会话内 Cron、Desktop/Cloud 持久化调度、GitHub Actions 事件驱动、Headless+Remote Control 四层结构，以及 3 天边界设计说明）

3.6.2 /loop：会话内的 Cron

调度一个重复提示只需一条命令：向 /loop 传递可选的时间间隔和任务描述，Claude 就会创建一个在会话保持活跃时在后台触发的 Cron 任务。调度任务以分钟、小时或天为间隔运行，每个会话最多支持 50 个并发调度任务。

# 每小时扫描错误日志并自动提 PR /loop 1h "tail -200 app.log | check for anomalies and open a PR if found"

每10分钟监控部署状态

/loop 10m "check deployment status and notify if failed"

3 天自动过期是刻意的设计决策，不是限制：它强制一个复查周期，限制成本暴露，并防止长时间自主过程中的错误积累——小偏差乘以时间等于大漂移。如果任务在 72 小时后仍然需要，重新启动就是检查发生了什么、更新任务定义的机会。

3.6.3 Desktop 与 Cloud 调度：脱机持续执行

两种持久化调度模式：

3.6.4 GitHub Actions：事件驱动的持续集成执行

这是长周期运行最强大的形态——不依赖任何会话，由事件触发，运行在 CI 基础设施上。

Anthropic 官方提供的 claude-code-action@v1 不是一个包装器，不是一个薄薄的 API 调用，而是实际的 Claude Code 运行时——在 GitHub Actions runner 中执行，读取仓库，分析差异，并将结果直接发布到 PR 上。它不只是谈论代码，而是在仓库上采取行动。

两种执行模式：

• 交互模式：监听 @claude 提及，开发者在 PR 评论中触发
• 自动化模式：对每个匹配事件（PR 打开、CI 失败、Issue 创建等）无提示运行

# 每周一凌晨 2 点自动安全审计 on: schedule:

- cron: '0 2 * * 1' 

• name: Security Audit run: | claude -p "Perform a comprehensive security audit: scan dependencies, check dangerous code patterns, identify exposed secrets. Generate a prioritized report." –output-format json > report.json

  关键安全设计：Action 创建分支并开启 PR——默认不会自动合并。在任何变更到达受保护分支之前保留人工签字。为防止无限循环，Claude 自己的修复分支会被排除在触发条件之外。

  3.6.5 Headless + Remote Control：随时随地接管

  Headless 模式（-p 标志）允许无交互运行 Claude Code，从脚本调用，支持管道输入输出和 JSON 结构化输出，是集成到更大自动化流程的关键。

  Remote Control 完成了"随时随地"的最后一环：离开办公桌后通过手机或任何浏览器继续工作，代码始终保留在本机（仅聊天消息通过加密通道传输）。claude –teleport 命令允许从 Web 发起的任务无缝拉取到终端继续执行。

  Harness 映射：时间本身也是需要被驾驭的。三条时间缰绳共同作用：定时触发控制"何时行动"，3 天边界限制"漂移多久"，人工复查点确保"谁来重新确认意图"。整套体系让 AI 的自主性在可预期、可审计、可干预的时间轨道上运行。

  六个维度不是孤立的功能模块，而是一套相互支撑的驾驭体系：

  工具集成调用奠定了能力边界——Claude 能做什么、不能做什么，由 MCP 协议和工具权限决定，而不是由 AI 自行决定。

  上下文管理决定了认知质量——在正确的时刻向 AI 提供正确的信息，而不是把所有信息一股脑塞进去。精准的上下文管理是其他五个维度正常工作的前提。

  安全设计建立了信任基础——多层权限体系、信任验证和企业合规，使得开发者和组织能够放心地将 Claude Code 集成到关键工作流中。

  可控性设计提供了调节旋钮——从 Plan Mode 的最高控制到 Auto Mode 的智能委托，开发者可以根据任务风险和个人偏好选择恰当的自主程度。

  代码质量保障构建了外部验证闭环——TDD、Hooks 和多智能体审查三层叠加，确保 AI 产出的代码不依赖 AI 自身的判断来验证，而是通过外部神谕来确认。

  长周期静默运行拓展了时间维度——从"你请求它响应"到"你设定目标它自主执行"，为开发工作流引入了异步自主的新范式。

  六者共同构成了一个 Harness Engineering 的完整实现：AI 的能力被结构化地驾驭，人类的判断被保留在恰当的位置，自主性和可控性在动态平衡中共存。

  5.1 不要把 AI 当黑盒

  Claude Code 的设计哲学表明，最好的 AI 工具是透明的、可审计的、有边界的。在实践中，这意味着：

  5.2 从低风险任务开始建立信任

  对于长周期静默运行能力，建议从短间隔和低风险任务开始——部署监控、日志扫描、文档更新。随着对护栏建立信心，再逐步过渡到更长时间运行的自主工作流。

  5.3 重新定义人的职责边界

  在 AI 处理"拦截与铲除"（安全扫描、风格合规、测试覆盖、规格检查）之后，人的核心价值在于：架构意图、业务语境、风险权衡、用户体验判断，以及最终的接受决策。

  这不是人的职责被削减，而是人的注意力被重新聚焦到真正需要人类判断的地方。

  5.4 理解"有意为之的摩擦"

  3 天任务过期、Code Review 不阻断合并、Plan Mode 强制审批计划——这些看似"不方便"的设计，都是 Harness Engineering 的刻意选择。它们维护了人类对流程的主导权，防止了错误的无限积累，保留了关键决策的人工确认。

  在引入 AI 工具时，**"把所有摩擦都去掉"的冲动，往往是更成熟的工程判断。

  软件工程的历史一再表明：真正持久的生产力提升，来自驾驭复杂性，而不是消灭复杂性。汇编器、编译器、框架、容器——每一层抽象都在驾驭下层的复杂性，同时为上层提供可操控的界面。

  Claude Code 是这一历史脉络在 AI 时代的延续。它没有试图成为一个"全自动黑盒"，而是在工具集成、上下文管理、安全设计、可控性、质量保障和长周期运行六个维度上，系统性地实践了 Harness Engineering 的核心理念：

  给 AI 装上缰绳，不是为了限制它，而是为了让它在正确的轨道上发力。

  这或许是当前 AI 工具设计最值得深思的启示：能力的边界，往往也是信任的起点。

  本文涵盖 Claude Code 截至 2026 年 4 月的功能与设计。Anthropic 持续快速迭代，部分细节可能已有更新，建议参阅官方文档获取最新信息。