第一，工具契约足够清楚。模型知道它能做什么、该怎么传参数、结果会是什么样。第二，默认值足够保守。开发者一旦漏声明，系统也不会轻易放出危险能力。第三，注册与过滤足够严格。工具不是谁都能看见，谁都能调。第四，结果预算足够理性。模型看的是关键上下文，不是无底洞日志。第五，执行过程足够可见。用户不是盲等，而是一直知道 Agent 在做什么。Agent 工程化的分水岭，不在模型会不会调工具，而在工具系统有没

真正到了工程场景，系统提示词已经不是一句话、不是一段描述，甚至不是一份静态模板，而是一套会随着运行状态不断被拼装、被缓存、被切分、被降级的基础设施。这些当然重要，但在真正的产品里，提示词更像一套运行机制。这也是为什么真正优秀的 AI 编码系统，不会把 System Prompt 直接写成一整坨字符串，而是会把它拆成多个 section，再根据“是否稳定、是否会变化、是否允许跨会话共享”等维度做精细

以 200K 上下文窗口为例，系统会先扣掉最多 20K 的摘要输出预留，再扣掉 13K 的自动压缩安全缓冲。这样得到的默认触发点大约是 167K，也就是窗口的 83.5% 左右。预算项含义作用原始上下文窗口模型一次能看到的最大 token 空间决定理论上限摘要输出预留最多约 20K tokens确保压缩摘要有地方生成自动压缩缓冲约 13K tokens吸收当前轮工具结果、系统补充和竞态增长默认触发

AI Agent 的能力不只来自模型本身，还来自它如何管理输入。Token 预算策略解决的是一个非常底层、也非常现实的问题：哪些内容值得进入上下文，哪些内容应该被预览，哪些内容要被持久化，什么时候该压缩，什么时候该冻结。如果把模型比作大脑，那么上下文就是工作台。工作台再大，也不能无限堆满日志、搜索结果和历史消息。真正成熟的 AI 编码系统，一定会把上下文当成稀缺资源来经营。

高频、稳定、核心工具适合常驻并缓存；低频、外部、动态工具更适合延迟加载。这样既能保持能力扩展，又能保护主前缀。1. Prompt Cache 不是简单省钱技巧，而是 AI Agent 长会话工程的底层能力。2. 缓存命中依赖前缀稳定，稳定内容必须靠前，动态内容必须靠后。3. 三级范围 global、org、null 解决的是“哪些内容能被谁复用”的问题。4. 5 分钟和 1 小时 TTL 解决的是

Prompt Cache 能省钱、提速，但它也带来一个新问题：缓存什么时候断、为什么断、该不该报警。没有检测系统，缓存就像一个黑盒，只有账单和延迟告诉你它可能出事了。Claude Code 的缓存中断检测系统给出的答案，是建立一套两阶段可观测性架构：请求前记录状态快照，响应后根据 token 统计确认中断，再用变化清单、TTL 判断、服务端归因、日志、事件和 Diff 文件形成完整诊断链。

提示注入防御的核心，不是把所有外部数据拒之门外，而是在连接外部世界时，给 Agent 建立可靠边界。因为 Agent 要创造价值，就必须读文件、查资料、用工具、连系统；但只要它连接外部系统，就会遇到被污染、被伪装、被诱导的上下文。一套好的防御体系至少要做到四点：看不见的字符要清洗，容易伪造的结构要转义，不同来源要打标签，高风险动作要人工确认。再加上模型层警觉和行为边界，才能把风险压到可控范围。

Claude Code 沙箱系统最值得学习的地方，在于它不是单点功能，而是一套完整控制平面：平台适配负责跨系统运行，配置优先级负责治理，文件隔离负责保护本地资产，网络隔离负责防外泄，Bash 决策链负责执行前判断，执行后清理负责切断残留攻击链，企业策略负责把安全要求固化下来。把这套思路抽象出来，可以得到一个非常清晰的结论：AI Agent 越自主，越需要硬边界；越能执行真实命令，越不能只靠提示词；

CLAUDE.md 的真正价值，是把 AI Agent 从“每次从零开始聊天”，推进到“带着项目长期记忆工作”。它让团队规范、个人偏好、项目结构、安全要求可以稳定进入模型上下文，让 Agent 不再每次都靠临场理解。但它也提醒我们：未来 AI Agent 的竞争力，不只是模型参数，也不是某一句神奇提示词，而是一整套上下文工程能力。谁能把规则分层、按需加载、控制预算、追踪来源、处理冲突、配合权限与沙

单个 Agent 像一个能力很强的工程师，但复杂项目不是靠一个人闭门完成的。真正可落地的 AI 编程系统，需要探索者、实现者、验证者、协调者、远程执行器共同工作。Subagent 解决上下文污染，Fork 解决完整现场下的并行探索，Coordinator 解决复杂任务调度，Verification 解决质量兜底，Bridge 解决远程触发与本地执行。它们组合起来，才构成一个可扩展、可审计、可恢复的