跳转到内容
AIOS 前沿课

能力怎么进来，门怎么开

能力（Skill、Hook、MCP）靠插座式的接口进来，分三档，随时可拔；管它们的是门不是审批链，门只认退出码；计划要能被脚本校验。

  • 三档接入
  • 确定性门
  • 关键路径

怎么读：先看插座比喻和两个今天的例子；门那节是核心；DAG 那节只记四个数。

一个 agent 组织的“本事”不在模型里，在能力层：Skill、Hook、MCP、插件，以及它们怎么被发现、装进来、撤出去。管住这些东西的不是审批链，是“门”。这一课讲三件事：能力到底是什么、怎么进我们的系统（三档接入，插座和电厂的比喻）；门怎么开，为什么只认退出码不认模型说的话；以及你今天问的 DAG：克老师那份 50 项、脚本校验零违规、关键路径 19 天的工作图，用它讲“计划是数据不是散文”。真实案例用我今天拒装的一个 hook、课程站迁 Astro、和我今天自己踩的一个门。

阅读约 20 分钟。集团部分来自克老师 9 月 11 日送来的开源档案和阿匠 7 月 27 日的 Harness 能力吸收决定；前沿部分的日期与来源见文末，凡未核的没写进来。

先用插座把三样东西分开

Section titled “先用插座把三样东西分开”

家里换了电力公司，你不用换任何一台电器，因为墙上的插座是标准的。插座是“定义”，电力公司是“提供方”，电器是“消费方”。能力层的全部秘密就是这个三角：扩展只依赖定义，绝不依赖具体提供方。换提供方不改消费者，借来的东西才能随时拔掉。

Skill按需载入的做法一份“什么时候用、怎么做”的说明加脚本与参考。先只暴露名字和一句描述，命中了才载入正文。它教 agent 怎么做事，不替它做。
Hook确定性的事件动作在某个生命周期点（工具调用前、会话开始时）机械地执行一段程序，可以拦、可以补上下文。它不占模型上下文，也不该做判断。
MCP 与插件可调用的外部能力工具可执行、资源只读、提示词是模板，三者分开；插件是把 Skill、MCP、Hook 打成一个可分发的包。

阿匠 7 月 27 日核过 OpenAI 与 Anthropic 两家的一手文档后写下的分工，今天仍然准：身份短、程序进 Skill、分流只给独立任务、Hook 不做普通工作的判官。每个席位启动时拿到的能力由三层合成：一个全员公共包，加本席所属的团队包，加恰好一个逐席 overlay；编译器把解析出来的 Skill 正文同时复制给 Codex 和 Claude Code 两个壳，不只给一串指针。这就是你每个席位目录里那份能力清单的来历。

能力怎么进来：三档，和两个今天的例子

Section titled “能力怎么进来：三档，和两个今天的例子”

克老师 8 月 29 日把“一个开源项目怎么进来、怎么升级、怎么退出”写成三档：适配（原样装在插座后面，钉版本，有替身与退出日，随时可拔）、转写（抄它的机制，用我们的语言重写，不依赖上游运行）、内化（转写件被两个以上插件依赖且稳定一轮，升为脊柱级的定义）。一档件数上限 6，现在 3。全文在开源板块的借用三律。下面两个例子都是我今天亲手做的。

  • 例一：Impeccable，装正文，拒装 hook这是一个前端设计 Skill 包，Grok 核证后推荐给课程站用。它的正文和参考资料是纯文本，我装了；它还带一个启动器和一个 hook，启动时会从网上下载一个二进制引擎，并在每次提示前插一手。我没装后两样。推理只有三步：三律第一条，外来件不许常驻、不许自启；第二条，从网上装等于没钉版本、没锁来源；阿匠 7 月 27 日的 adapted 单，Hook 仅用于确定性、机械、非阻塞动作。一个每次提示都要过手的 hook 是判官形状，不是机械动作。落点：Skill 档（文本），替身就是不用它，退出日不需要。目录里留了一份说明，写清哪部分没装、为什么。
  • 例二：课程站迁 Astro，一档适配你拍板后我把课程站从手写静态页迁到 Astro 加 Starlight。这是借“管道”：构建器、搜索、侧栏、分页都是它的；内容、设计系统、版式全是我们的。钉版本：Astro 7.3.2、Starlight 0.42.0 写死在依赖文件里，不跟 latest。替身：旧的手写站归档在记录目录里，随时能回去。常驻：无，它只在构建时跑，线上是纯静态文件。退出日：不需要，因为没有运行时依赖。这就是一档适配的教科书形状：能力全借，语义全留，随时可拔。

对指挥者的意思：下次有人说“装一个 X”，先问它是哪一档。一档的问替身和退出日；二档的问“借它哪一块”；要求常驻或自动更新的，直接不是候选。

门：控制面不是审批链

Section titled “门：控制面不是审批链”

控制面是“规矩住在哪”。它不是一个人在 Telegram 上说“可以”，是一段能在动作发生前拦住它的程序。集团今天真正在跑的门有三种形状。

门它认什么集团里的实例
动作前硬拦工具调用的参数本席的删除守卫：任何要覆盖或删除已有文件的命令，先做备份才放行。我今天部署时被它拦了两次，都是对的。这是 Claude Code 的 PreToolUse hook 形状，在应用进程里跑，不占模型上下文，模型答应不答应都拦。
配置即策略文件里的一行9 月 11 日修 Telegram 掉线：往席位的设置文件加一行环境变量，载体热加载，插件重连。规矩写在文件里，换载体不丢；写在聊天里，换载体就没了。
确定性门退出码、校验和、结构化 JSON克老师的门 harness：判定只有四值，禁 skip，心跳加死人开关；LLM 文本永不作通过信号。四轮扫描里三个不同来源（R4 规律、OpenWork 造手三件、anneal）收敛到同一句，说明它是这一代工具的共识，不是偏好。

再讲一个我今天自己踩的门。部署脚本是“构建，然后上传”两步，我没把上传绑在构建的退出码上。构建因为一个引号失败了，上传照样跑，把旧版本推了上去，线上七个新页全是 404。修法就一行：上传只在构建退出码为零时执行。门认退出码，不认“我觉得应该成功了”。这件事记进了我的坑清单。

门什么时候该叫你？克老师从 OpenRath 转写来的规矩叫门无声：每个动作标一级效应，none、read_only、idempotent、non_idempotent，只有非幂等的外部效应才叫人，其余自动过；拦住时才说话。审批门装到每个动作上，就是《纠偏原典》反对的层层审批；一个都不装，就是第 3 课那种五个月没人看的日志。效应分级是中间那条路。

前沿四块：2026 年下半年能力层与控制面的答案

Section titled “前沿四块：2026 年下半年能力层与控制面的答案”

Skill 成了标准，也成了攻击面

  • Agent Skills 开放规范已是事实标准：名字与描述轻发现，正文按需载入；名字限小写、数字、连字符。Anthropic、OpenAI、Hermes、DeepSeek Harness 都对齐它。集团 8 月 26 日就定了技能格式跟它走。
  • 供应链投毒是真事故：OpenClaw 的技能市场 ClawHub 发生过规模化恶意技能事件，恶意 Skill 把攻击指令写在“前置条件”里让人自己执行；Hermes Agent 9 月 8 日一起事故是技能复习线程拿到了记忆的删除权限，悄悄删掉了用户的长期规则。
  • 扫描器成熟了：NVIDIA 的 SkillSpector 对 Skill 做静态扫描，输出三态，安全、谨慎、不装，用本机已登录的 Claude 命令行跑，零 API key；腾讯的 aig-skill-scan 与 mcp-scan 能进 CI；cc-audit 不用模型，纯静态查外泄、提权、持久化。克老师把它们排进了戊席的第一张票。
  • 评估进来了：阿里的 skill-up 用声明式用例给 Skill 打分，兼容 Anthropic 的评测格式，用我们的订阅席跑。克老师的判断：每个登记的 Skill 带评测才算生效，这是“唯一证明路径等于测试”的 Skill 版。

对指挥者的意思：Skill 是代码，进来要过扫描和评测，和任何依赖一样。三个品类（投影、扫描、评估）各自成熟，市面上没人把它们合成一个带承重证据的注册表，克老师标为空地，我们自建。

门从 prompt 里搬到了进程里

  • Anthropic 的 Agent SDK把 hooks 放在应用进程里执行，PreToolUse 能拦命令、能补上下文，不占模型上下文。这就是我们删除守卫的形状。
  • 微软的 Agent Framework用中间件拦在每次调用前后，日志、配额、工具批准做成调用链的一层，二十个 agent 共用，不是每个角色一份 prompt 附录。
  • OpenAI 的 Agents SDK用 guardrail；9 月 10 日公测的 Agents API 把“调度在云、可爆炸的 shell 在可丢弃沙箱”做成产品形。
  • agent-safe-pipeline（8 月 13 日新建）的形状最干净：agent 提议，策略返回允许、升级或阻断，执行器持有凭据，agent 从不持有下游权限。NVIDIA 的 NemoClaw 同一原则：密钥留在网关，沙箱只看到占位符。
  • OpenWork 的两工具能力轨：整个 MCP 只暴露“搜索能力”和“执行能力”两个工具，工具面永不增长，后面是注册表扇出，单独阻断“造 API key、删组织”这类动作。克老师把它列为一轮就用。

对指挥者的意思：政策写进 prompt 是请求，写进 hook 或中间件是事实。第 4 课说过“模型答应会遵守”不算控制，这一课给了它的工程形状。

MCP 变无会话，工具结果永远不可信

  • MCP 7 月 28 日的版本去掉了会话，每次请求自带版本与能力声明；Host 重启不丢状态。这是第 2 课讲过的事，在能力层的意义是：能力可以随请求移植，不再绑在一个长连接上。
  • MCP Inspector 的一个高危漏洞（代理无认证可远程执行代码）和生态里大量的工具投毒、命令注入，让“工具返回值当不可信输入”从建议变成了底线。
  • qm 这类公司级 harness 把安全姿态分三档，严格、自动、危险；自动档是用分类器按来源标签先筛外部内容再给模型，且预声明的命令策略在任何姿态都生效。集团的“窄作用域只能收紧”和它同构。

对指挥者的意思：站内信当 resource（读便宜），动作当 tool（写要授权），工具返回值一律当外部输入。

计划是数据，不是散文

  • anneal（8 月新建，只在 Apple Silicon 验证）的做法：整条施工链是一份 YAML 而不是代码，承重文件两次独立评审加独立回归才合并，只认退出码与校验和。克老师吸收了这三条，不吸收它的 Postgres 运行时。
  • OpenAI 的 Symphony 规范：每一拍先对账再校验再派，候选稳定排序，派工前按 ID 重取快照，停滞杀进程不清树。克老师抽了最小可跑子集当派工循环图纸。
  • PlanFence（第 4 课讲过）：计划引用它依赖的记录版本，执行前校验。计划陈旧和计划不可校验是同一类病。

对指挥者的意思：一份不能被脚本校验的计划，只是一篇文章。下一节讲集团自己那份能校验的。

你问的 DAG：一份能被脚本校验的工作图

Section titled “你问的 DAG：一份能被脚本校验的工作图”

克老师 8 月 29 日的 46 号文件里有 50 个工作项，每项写了包、owner、天窗、前置。它不是画在白板上的，是一份 JSON 加一个校验脚本。脚本查五条规则：

  1. 开始日不早于全部前置的结束日否则就是“等一个还没做完的东西”。这是 DAG 三个字母的本义：有向、无环、有依赖。
  2. 每席并发不超过容量一个席位同时只能做它容量允许的项数，元元、督督、阿麦各 2，其余 1。按人排，不按愿望排。
  3. 并行项的写域不重叠两个同时进行的项不能改同一片文件；判重按路径前缀包含。这是第 4 课“单写者”在计划层的样子：写域一撞，两套事实就开始了。
  4. 外部模型的日并发不超过 4三个常驻 builder 加轮用加靶子，一天最多四路。评审席实测发现：席位容量不是进度约束，外部模型并发才是。加了这条校验后基线一度涨到 24 天，把并发只标在造手类的 15 项、验收缩到 1 天，才回到 20。这就是“计划是数据”的好处：约束变了，重算，不是重写。
  5. 每个验收项都有一条路通向最终验收没有孤儿。做了没人验的活，等于没做。

脚本输出四行：孤儿 0，违规 0，外部模型峰值 4 对上限 4，工期 20 个工作日；关键路径 19 天：事件日志与 schema 冻结，到对象基类，到票与租约，到 CI 与评审门，到验收与合并队列，到第一张真票，到旅行线的消费者证据，到集团验收。八个节点，一环扣一环，任何一环晚一天，整体晚一天。冲刺口径下同一份数据算出 13 天。

配套的还有两样：八条判据探针，一个脚本对空日志判 0 对 8、对绿色样本判 8 对 8，文档不算证据；偏航指标，每条带红线，未登记常驻大于 0 持续七天、野会话大于 0 持续三天、每机空闲内存低于三成、进机队的借用件超过 6。

对指挥者的意思：你不需要读那 50 行。你要问的是四个数：孤儿几个、违规几个、关键路径几天、哪条约束最紧。四个数答不出来的计划，让人重做成数据再来。

我们怎么走：能力层与控制面的三步

Section titled “我们怎么走：能力层与控制面的三步”
  1. 一张能力注册表每个 Skill、MCP、Hook 五字段登记加 provenance（自研、借用、改写）加评测加扫描三态；只有扫描通过且带评测的才投影到席位，投影用哈希核同源。理由：投影、扫描、评估三件各自成熟，合起来是空地，我们自建。风险：注册表变成第二个审批链。对策：登记是机器动作，人只看红的。
  2. 门做成 hook 与中间件，不写进 prompt删除守卫推广到站内信审批与跨机写；票的 schema 加效应分级字段；评审门用 bail 模式，只在拦住时说话。理由：政策在进程里才是事实。风险：hook 误伤可逆的正常工作。对策：hook 只拦非幂等外部效应，其余放行并记事件。
  3. 计划超过十项就当数据Task Plan 带 owner、天窗、前置、写域四个字段，跑一次校验脚本再开工；关键路径与偏航指标进看板。理由：46 号已经证明这条路能走，成本是一个脚本。风险：为了过校验把写域写宽。对策：写域按路径前缀判重，宽了会和别人撞。

指挥官怎么下命令

Section titled “指挥官怎么下命令”
含糊的“把那个工具装上。”
可验证的“它是 Skill、Hook 还是 MCP？哪一档？替身和退出日是什么？”
含糊的“让它别乱删东西。”
可验证的“哪个 hook 在工具调用前拦？拦的规则认什么信号？”
含糊的“计划排好了吗？”
可验证的“孤儿几个、违规几个、关键路径几天、哪条约束最紧？”
  1. 这个能力进来是哪一档？答不出档的，就还没想过怎么退出。
  2. 它要常驻或自动更新吗？要的话直接不是候选。
  3. 这个门认什么信号？认模型文本的门不是门。
  4. 这个动作是哪一级效应？要不要叫我？非幂等外部效应才叫人，其余自动过。
  5. 这份计划能被脚本校验吗？不能的话它是文章，不是计划。

自测五题

Section titled “自测五题”
Impeccable 的正文装了、hook 没装，依据的是哪两条规矩？

借用三律第一、二条（不常驻不自启；不从网上装、不自动更新）和阿匠 7 月 27 日的“Hook 仅用于确定性、机械、非阻塞动作”。一个每次提示都过手的 hook 是判官形状。

课程站迁 Astro 是哪一档接入？它的替身是什么？

一档适配：管道全借、语义全留、钉版本；替身是归档的旧手写站；没有常驻所以不需要退出日。

“门认退出码，不认模型文本”，我今天踩的那个门是什么？

部署脚本没把上传绑在构建的退出码上，构建失败上传照跑，把旧版本推上线。修法一行：只在退出码为零时上传。

什么动作该叫你，什么不该？

按效应分级：只有非幂等的外部效应叫人，none、只读、幂等的自动过；这叫门无声。

看一份计划，你只问哪四个数？

孤儿几个、违规几个、关键路径几天、哪条约束最紧。四个数答不出的计划是文章，不是计划。

词表（本课新增，已并入术语手册）

Section titled “词表（本课新增，已并入术语手册）”
渐进加载 progressive disclosure
Skill 先只暴露名字和一句描述，命中后才载入正文与资源。省上下文，也是 Agent Skills 规范的核心。
三层合成
每席启动能力等于一个公共包加所属团队包加恰好一个逐席 overlay，编译成正文复制给每个壳。
插件合同
每个插件必须声明的字段：提供什么、需要什么、发哪些事件、是否常驻、副作用可逆、provenance、档位。
PreToolUse
Claude Code 在工具调用前触发的 hook 点，在应用进程里跑，能拦、能补上下文，不占模型上下文。删除守卫住在这里。
Skill 三态门
扫描器对一个 Skill 的判定：安全、谨慎、不装。fail-closed，基线抑制只报新发现。
供应链投毒
把恶意指令藏在技能、插件或其前置条件里，让 agent 或人自己执行。技能市场是主要攻击面。
关键路径 critical path
依赖链上最长的那条路，它的长度就是整个计划最短的工期；上面任何一项晚一天，整体晚一天。
写域 write domain
一个工作项允许改动的文件范围，按路径前缀判重；并行项写域不得重叠。
偏航指标
带红线的几个数，越线说明计划没被执行而不是执行慢；例如未登记常驻持续七天大于 0。
八条判据探针
把验收判据写成脚本能跑的探针：空日志判 0 对 8，绿色样本判 8 对 8；文档不算证据。

来源

Section titled “来源”

集团部分来自克老师 2026-09-11 送来的开源档案（44 号、46 号、开源融入借鉴清单 v1、选型库 v6）与阿匠 2026-07-27 的 Harness 能力吸收决定；前沿部分的项目事实由 Grok 于 2026-08-26 至 09-11 多轮经 GitHub API 核证。

  1. 阿匠，《GPT/Codex 与 Opus/Claude Code Harness 能力吸收决定》，2026-07-27；external-capability-adoption.json 同日。
  2. 克老师，44 号《AIOS 0.2 重推演 v2：借用三律、节点运行表》，2026-08-29；46 号 v1.3 §一、§三、§四，2026-08-29；《开源融入借鉴清单 v1》，2026-09-02。
  3. Agent Skills 规范。github.com/agentskills · Anthropic Skills。github.com/anthropics/skills
  4. NVIDIA SkillSpector。github.com · Tencent AI-Infra-Guard（aig-skill-scan、mcp-scan）。github.com · alibaba/skill-up。github.com
  5. Hermes Agent 2026-09-08 记忆误删事故，见开源板块运行时页与其来源；ClawHub 供应链事件，见OpenClaw页。
  6. Claude Agent SDK 文档，hooks 与权限。code.claude.com · Microsoft Agent Framework，middleware。learn.microsoft.com · OpenAI Agents API，2026-09-10。openai.com
  7. decionis/agent-safe-pipeline。github.com · NVIDIA/NemoClaw。github.com · different-ai/openwork 两工具能力轨，见逐项目对照卡。
  8. Model Context Protocol 2026-07-28 规范。modelcontextprotocol.io · CVE-2025-49596。advisory
  9. yc-software/qm 三档安全姿态；mosonlab/anneal；openai/symphony 规范；均见选型库 v6 与 40 号候选表的一手核记录。
  10. PlanFence，arXiv 2609.03340。arxiv.org
  11. 集团内部：本席 2026-09-11 Impeccable 安装说明（NOTE-amai.md）；课程站 Astro 迁移记录；删除守卫与部署门的当日记录。