合理的产品设计应当允许用户开启严格沙箱、沙箱加常规确认，或者在明确知情的情况下关闭沙箱，同时提供“沙箱不可用时直接失败”而不是静默降级的严格模式。沙箱策略在这一层生效后，普通的脚本、变量展开和管道技巧无法让进程凭空获得策略之外的权限，而且 Shell 创建的子进程也会继承同一边界。命令一旦通过应用层检查，Shell 以及它启动的 Python、Node、Git 等子进程，通常会继承当前宿主用户拥有

对于格式转换、代码迁移和审查报告这类任务，最有效的补充通常不是再写一段抽象说明，而是给出一组短小的输入与输出，或者 Before/After 对比。本文以 Codex 当前的 Skill 机制为基准，结合实际编写经验，讲清楚 Skill 的结构、加载链路、正文应该写什么，以及怎样判断它是不是真的可用。写 Skill 的目标不是让 Agent “读过更多内容”，而是让它在正确的任务里，沿着正确的路径

对于格式转换、代码迁移和审查报告这类任务，最有效的补充通常不是再写一段抽象说明，而是给出一组短小的输入与输出，或者 Before/After 对比。本文以 Codex 当前的 Skill 机制为基准，结合实际编写经验，讲清楚 Skill 的结构、加载链路、正文应该写什么，以及怎样判断它是不是真的可用。写 Skill 的目标不是让 Agent “读过更多内容”，而是让它在正确的任务里，沿着正确的路径

按照本文写作时 OpenAI 官方模型页列出的价格，GPT-5.6 Sol 每百万输入/输出 Token 分别为 4 美元和 20 美元，Terra 为 2 美元和 12 美元，Luna 为 0.2 美元和 1.2 美元。官方文档明确说明，每个子 Agent 都会执行自己的模型和工具工作，所以会增加 Token 消耗。时，还可以使用单独的 Review 模型。如果你经常处理格式整理、定向搜索、简单

按照本文写作时 OpenAI 官方模型页列出的价格，GPT-5.6 Sol 每百万输入/输出 Token 分别为 4 美元和 20 美元，Terra 为 2 美元和 12 美元，Luna 为 0.2 美元和 1.2 美元。官方文档明确说明，每个子 Agent 都会执行自己的模型和工具工作，所以会增加 Token 消耗。时，还可以使用单独的 Review 模型。如果你经常处理格式整理、定向搜索、简单

如果这时候就执行工具，拿到的可能只是半截 JSON，参数解析会失败，甚至会让 Agent 执行一个不完整的动作。**它会先判断这个工具有没有注册，参数是否合法，当前模式允不允许执行。这样做的好处很清楚：参数定义只写一份，模型看的是这份，本地验的也是这份，不用手写两套容易打架的描述。💡 一句话：Agent 工具层，不是把函数丢给模型，而是把模型动作包装成一条可校验、可并发、可回填的执行链路。Age

第一步是轻量级的 prune，不一定真的删除数据，而是让模型看到的内容变成占位提示。用户的需求、模型的思考、工具调用结果、错误日志、文件内容、临时计划，都会不断塞进上下文窗口。它不是一上来就调用 LLM 摘要，而是先做便宜的本地处理，比如调整工具输出预算、截短老工具结果、对局部输出做压缩。用户原话、最近几轮对话、关键工具结果、任务状态、错误栈、待办事项，这些信息的价值是不一样的。它可能忘记用户刚刚

Agent Loop、Tool Calling、Defense in Depth、危险命令黑名单、路径沙箱、权限规则、权限模式、HITL、deny 优先、结构化错误结果。我会把权限系统放在工具执行前，做成一条五层纵深防御链：先硬拦危险命令，再限制文件沙箱，然后匹配细粒度规则，再根据权限模式给出默认决策，最后用 HITL 让用户兜底确认。的工具结果返回给模型；但当它能读文件、写代码、执行 Shell

这种设计既能配置跨项目的个人偏好，也能提供项目共享规则，并把只对当前机器生效的选择保存到本地文件中。如果目标文件尚不存在，系统会向上寻找最近的已存在祖先，解析祖先的真实位置，再拼回未创建的路径部分。命令必须完整命中安全集合，或者以“安全命令 + 空格参数”的形式出现，同时不能包含管道、命令连接、重定向、命令替换等元字符，才能自动放行。一次工具调用进入 Agent 后，首先会根据工具名从注册表中取得

系统提示词、工具定义、文件内容、命令输出、工具调用结果，以及模型即将生成的输出，都会占用窗口空间。这篇文章从一个真实 Coding Agent 的上下文模块出发，拆解它如何通过工具结果预算、全对话压缩、恢复附件和会话持久化，让长任务可以继续运行。边界包含摘要和原样保留的尾部消息，恢复会话时可以直接重建压缩后的状态，而不必重新执行一次摘要。当前实现会保留近期若干轮的完整结果，对更早且较长的结果进行裁