标签：human-in-the-loop

频繁点“同意”会造成审批疲劳，反而不安全。Claude Code 用操作系统原语做沙箱：文件系统隔离（只写当前工作目录）加网络隔离（只经代理连获批域名），缺一不可。在此基础上推出开源的沙箱化 bash 工具和云端运行、git 凭证不进沙箱的 Claude Code on the web。内部权限弹窗减少 84%。

• claude-code
• sandbox
• security
• prompt-injection
• permissions
• human-in-the-loop

auto 模式把权限审批交给模型分类器，介于人工审批和完全跳过权限之间。两层防御：输入层用提示注入探针扫描工具输出；输出层的转录分类器在执行前判定每个动作，先单 token 快速过滤，被标记再用思维链复核。另有子智能体交接检查和“拒绝后继续”。真实流量误报率 0.4%，对真实越权行为漏报率 17%。

• claude-code
• permissions
• human-in-the-loop
• prompt-injection
• security
• failure-modes

仿照经典的“12-Factor App”，从工程实践角度总结出 12 条（外加附录 1 条）构建生产级 LLM 应用的原则。核心主张：好的智能体大部分是普通软件，LLM 只在合适的位置做决策；提示、上下文窗口和控制流都应该由开发者自己掌控。