Anthropic 将 Claude Code Mods 正式转为官方核心特性，全面接入命令行、桌面端与 VS Code。表面看，这像 Cursor Rules 或 MCP 插件的又一次变种，但工程逻辑完全换了方向。
过去所有智能体底座都在解决怎么替模型连接工具、读写文件；Mods 则反其道而行，直接嵌入模型和人类之间充当拦截层。
当基础大模型直接吸收了大部分代码生成和工具调用的能力，智能体底座留给工程现场的核心价值只剩下一件事，那就是决定什么时候打断人类、展示什么输出、强行拦截哪些高危决策。Anthropic 官方自带的 AGENTS.md 解析、diff 视图面板、Mod 编写规范、组织安全策略、遥测日志，以及伴生观察者 you-should-know 这 6 大功能，已经全部基于 Mod 架构重写。这是一家模型公司在用自己制定的插件规范，自举整个开发工具的底层运行时。
洋葱模型与严苛的性能手铐
传统 Hooks 只能在旁路监听生命周期，给对话追加一点上下文或参数，完全无权决定命令的存亡。
Mods 则把整个交互逻辑做成了类似 Web 后端的洋葱模型。插件通过暴露统一的注册钩子，能够在事件发生前、执行完成后，甚至替代原有逻辑运行。它可以直接重写用户的原始输入，也能短路拦截模型的工具调用。
为了防止外部中间件拖垮整个终端，这套运行时在执行层面扣上了非常硬性的手铐：
- 提示词编辑拦截上限死锁在 50 毫秒以内
- 普通 Handler 执行时限只有 10 秒
- 单文件读写体积压在 4 MiB
- 外部网络请求超时锁在 30 秒
开发者不需要配置打包编译工具链，直接把 TypeScript 或 JavaScript 源码丢给底层引擎解析。这意味着所有拦截逻辑必须是极轻量的流式过滤器，容不得复杂的重型计算。
零沙盒裸奔与静默穿透
任何系统一旦开放内核控制权，安全防线往往最先碎裂。
官方文档写得非常直白，Mods 完全没有沙盒隔离。它们直接以宿主操作系统的当前用户权限运行。Claude Code 内部为命令执行准备的 Bash 沙盒，根本管不到 Mod 派生出来的进程。
这种特权下放带来了两条致命的旁路通道。
Mod 可以在终端提示框弹出前代用户静默批准工具调用，原本依赖人眼复核的确认机制在毫秒内就被脚本绕开。即使企业安全策略里明令禁止读取敏感配置文件，Mod 自身的 Node.js 进程依然可以用原生文件系统模块直接抓取敏感凭证，并利用网络接口向外传输。
现在的社区插件生态缺少中心化签名机制，审查手段多半停留在粗糙的正则匹配，面对动态混淆代码毫无抵抗力。企业如果不在 CI 环境用 sec-default 强制开启 allowManagedModsOnly: true，随意安装未经源码审计的第三方 Mod，等同于在本地执行毫无防备的外来二进制文件。
伴生 Agent 的经济账与缓存穿透
除了安全风险，工程落地还要面对极其现实的算力开销。
许多开发者构想的理想工作流，是在后台常驻一个伴生审查员。例如官方的 you-should-know 或社区的 Next Steps Supervisor，专门在模型输出时挑毛病、提建议。但这套机制在实测中迅速退化成新的信息灾难。
在实际测试中，审查插件在 111 次交互中触发了 99 次。原本用来过滤噪音的设计，反手给终端塞满了二次推断的碎碎念。
更为昂贵的是背后的 Token 消耗。伴生 Agent 每次发起审查，都要完整复制主任务的上下文。在 5 万 Token 规模的代码仓库里，单次轻量校验就会吃掉 5000 到 6000 输入 Token。
雪上加霜的是工程实现里的隐性缺陷。根据 GitHub 社区追踪的第 100083 号缺陷报告，特定版本在处理分支上下文调用时，会直接导致原本命中的 Prompt 缓存失效。一次本该走缓存的低成本查询被硬生生击穿成全量计费，Token 消耗量瞬间翻倍。
降噪没做成，倒先给账单开了个口子。
宿主改造与平台防御
这场架构改造暴露出 Anthropic 对工具链控制权的深层焦虑。
OpenAI Codex 习惯退后一步，通过 Codex App Server 规范接口协议，让开发者在外部自建客户端；Anthropic 则选择彻底剖开自己的宿主内部，让代码直接在主进程里做破坏性重构。
十九世纪铁路大扩张时期，各路公司争夺的不仅是机车马力，更是轨距标准与车站调度权。谁掌控了枢纽道岔，谁就能把整条线路的利润握在手里。AI 编程工具正在重演这幕历史。模型本身越来越像同质化的蒸汽机，单纯靠批发 API，上层客户转头就能切去更便宜的端点。
把底座改造为面向注意力的拦截层，正是 Anthropic 修建专属车站的手段。一旦工程师的降噪规则、质检钩子和合规审计全部绑死在 Mods 机制上，迁移成本就不再是改一行 API Base URL 那么简单。
大模型本身并不稀缺，能够高效消费代码的人类注意力才稀缺。底座如果只负责机械搬运 Prompt，随时会被踢出工具链；只有站稳人机交互的咽喉处，把杂音挡在门外，模型厂商才能把管道变成平台。但在官方拿出严格的进程级沙盒之前，普通团队最好的自保方案依然是管好插件权限，别为了省几秒钟的分神，把服务器底牌全交了出去。