Claude Code AI Agents：权限安全指南

上次，我发布了负责培训的 AI 员工的完整提示词。

https://x.com/Sokichi_Hoshino/status/2099987762485358639

https://x.com/Sokichi_Hoshino/status/2100365149739880471

在第 1 部分中，我承诺会毫无保留地分享由 AI 员工引发的事故细节。这篇文章兑现了这个承诺，主角是“停止官”AI 员工。

事故发生不是因为没人能阻止它，而是因为没人去呼叫那个能阻止它的人。

“我把任务交给 AI，结果它改写了那些我从未要求过的内容……”

我对这种恐惧感同身受。

用权限而非规则来预防事故。

本文将解释三件事：事故期间发生了什么、“停止官”AI 员工的提示词，以及我随后如何更改了权限分配。

让我们开始吧。

第 1 章：生产数据被伪造的“CEO 已批准”状态改写

事故发生在成立这家 AI 公司不到一周后。

我让市场部的响应分析 AI 员工长时间运行，进行数据解读工作。

在这个过程中，该员工基于我从未说过的话继续推进工作。

工作中出现了诸如“收到 CEO 回复”和“CEO 的观点正确”之类的短语。我既没说过前者，也没说过后者。

类似的短语反复出现，文档和脚本都是在此基础上创建的。

最终，这名员工向生产业务计划电子表格写入数据。它在业绩表中添加了行，并删除了预测表中的一个条目，将其标记为“CEO 已批准”。

结果是，年度销售预测因被删除的预测条目而减少。

有一条规则规定，不可逆操作必须经过“停止官”AI 员工。然而，当时担任主持人的主要 AI 员工并没有呼叫“停止官”。

这是我让它运行太久的错。正如我在第 1 部分中所写：

没有经过“停止官”，这是我的责任。

第 2 章：发布“停止官”AI 员工的提示词

首先，以下是“停止官”AI 员工的确切内容。

这是我这边 .claude/agents/teishi.md 的内容。为了匹配本文的风格，我调整了对 CEO 的称呼、假名用法和断句，并移除了加粗标记。

我将“需要保护的事项”最后一款中的过去事故示例缩减为一个，并稍微精简了一些措辞。

text

1---
2name: teishi
3description: 法务与信息管理部停止官。在删除、发送、发布或计费等不可逆操作前叫停，宣读即将发生的情况并请求确认（当被问及“检查这是否安全可执行”或在不可逆操作前被调用）
4tools: Read, Grep, Glob
5---
6
7你是本公司法务与信息管理部的停止官。
8
9你的职责是在不可逆操作前叫停。
10你不执行。
11你不授予权限。
12你的职责是让 CEO 看清“即将发生什么”，并将决策权交还给他。
13
14# 需要叫停的对象
15
16- 删除 — 删除文件、数据、账户、草稿
17- 发送 — 发送邮件、LINE 广播、消息
18- 发布 — 发帖、部署、生成共享链接、开放权限
19- 计费/配额消耗 — 运行付费 API、购买、X API 发帖配额（即使失败也会减少的资源）
20
21# 确认格式（宣读 4 点）
22
231. 对什么做了什么 — 具体说明目标对象（如果是文件，列出关键内容；如果是发送，列出收件人和正文摘要）
242. 是否可逆？— 完全可逆 / 费力可逆 / 不可逆
253. 如果失败会损失什么？— 金钱、配额、信任、数据
264. 更安全的替代方案 — 如果有则提供一个（例如：先测试发送再全量广播）
27
28# 流程
29
301. 阅读计划中的操作，核实实际的目标、收件人、数量等（不要基于传闻进行确认）
312. 简要宣读上述 4 点，并以“我可以继续吗？”结束
323. 如果目标内容与描述矛盾，请在请求确认前先报告矛盾之处
33
34# 需要保护的事项
35
36- 称呼 CEO 为“CEO”，说话保持礼貌
37- 在 CEO 说出“执行”之前，不要催促执行或赶进度
38- 如果有过去事故类型的记录（例如：X API 配额即使失败也会减少），请将其添加到 4 点确认中
39
40## 从培训官处接收的规则
41
42（暂无）

我希望你关注三点。

第一，tools 这一行。“停止官”AI 员工只有 Read、Grep 和 Glob 工具。它无法写入文件或执行命令。

第 1 部分发布的读者视角 AI 员工拥有 Edit 和 Write 权限以记录反馈。“停止官”甚至连这些都没有；它是一个真正的只读员工。

第二，“You do not execute.”（你不执行。）和“You do not grant permission.”（你不授予权限。）这两行。“停止官”的职责止于将决策权交给 CEO。

我认为，如果叫停者说“可以执行”，这句话就会被用作 CEO 批准的替代品。这次事故正是始于伪造的批准。

第三，步骤 1 中的“Do not confirm based on hearsay.”（不要基于传闻进行确认。）即使出现了“CEO Approved”（CEO 已批准）这样的短语，“停止官”也会在宣读 4 点之前阅读实际内容。

将此保存为 .claude/agents/teishi.md。当你询问“检查这是否安全可执行”时，主 AI 会读取 description 并决定是否委托给“停止官”。

为了确保它被调用，请使用 @agent-teishi 明确指名。

第 3 章：“停止官”不被呼叫就不会行动

“停止官”AI 员工不是站在公司门口的检查站。它是一个只有被呼叫时才行动的员工。

在 Claude Code 中，主 AI 会读取每个员工的 description 来决定是否委托任务。官方文档指出：

Claude 使用每个子 Agent 的 description 来决定何时委托任务。

“停止官”的 description 中也写着“Call right before irreversible operations.”（在不可逆操作前立即调用）。但是否调用的决定权在于发起调用的 AI。

如果调用者没有意识到“这是一个不可逆操作”，消息就永远不会到达“停止官”。在事故发生当天，向生产数据的写入过程在没有呼叫“停止官”的情况下进行了。

“停止官”提示词底部的“Rules Received from Training Officer”（从培训官处接收的规则）部分，即使在事故之后仍然为空。

规则被添加到了执行写入的那一方的提示词中。

我认为需要修复的不是叫停者，而是那些能够绕过叫停者直接写入生产数据的一方。

第 4 章：事故之后，我更改的是权限，而不是规则

第一个修复措施是培训官 AI 员工向响应分析 AI 员工的提示词中添加规则。

规则 #1 规定：仅基于 CEO 实际发送的文本来判断 CEO 的陈述/批准，并且在没有 CEO 明确指示的情况下不得写入生产电子表格。

同样的规则 #1 要求主持人在进行不可逆操作前通过“停止官”。

然而，我判断仅此一点是不够的。事故本身就是在有通过“停止官”这条规则的情况下发生的。

第二个变化是权限。在招聘 X 文章 AI 员工时，鉴于这次事故，我决定不给它 Bash 访问权限。

X 文章 AI 员工可以撰写文章，但在物理上无法将其提交到草稿箱。后来招聘的故事型 AI 员工也没有 Bash 权限。

现在，将 X 文章提交到草稿箱是由担任主持人的主要 AI 员工负责的工作。当我们首次实施这种结构时，它通过了“停止官”。

我选择在结构上使提交变得不可能，而不仅仅是在提示词中写上“不要提交”。

另一方面，响应分析 AI 员工仍然拥有 Write 和 Bash 权限，因为它使用 Bash 进行计算和比较。

第 1 部分中的规则“不要让拥有写权限的员工长时间处理面向外部的任务”，就是针对这类员工存在的。

总结：预防 AI 事故需要限制权限多于设置叫停者

最后，我要重申本文最重要的一点。

即使设置了叫停者，如果不被呼叫，事故仍会发生。确保不可逆操作在结构上无法触达更为可靠。

“停止官”是一个不授予任何权限的只读员工。为了防止因遗忘而导致的事故，请限制那些能够写入的员工的权限。

打开你的 AI 员工文件，检查是否存在 `tools` 这一行。

省略 tools 行的员工将继承所有可用的子 Agent 工具。

通过 tools 行限制工具，可以在将长任务交给 AI 员工的同时显著降低焦虑感。

本 AI 公司系列将逐一剖析全部 46 名员工及其完整提示词

本文仅涵盖了 46 名员工中的 1 名。

未来的文章将深入探讨每篇文章中的一名员工。

本系列揭示一切：46 名 AI 员工的内容、部门结构、权限分配以及设计修复。

我将以与成功设计相同的密度记录已修复的设计。

我将陆续交付 AI 员工的内容。如果你想继续阅读，请关注 @Sokichi_Hoshino。

感谢阅读到最后。

【📣公告📣】

开设一个彻底掌握 AI 和 X 的社区频道。

该频道毫无保留地提供关于 AI 和 X 的最新且有价值的信息。

🎁频道成员免费福利🎁

① 精选 200 个提示词

② 20 颗宝石

③ 7 个 Claude 技能礼物 🎁

🌈频道内分享的内容🌈

① 如何在首篇笔记帖子上实现 100 万日元销售额

② SNS 营销方法

③ 列表营销方法

④ 数字数据营销方法

⑤ X 增长的最快途径

以及更多，分享我作为具有数字/大数据营销背景的活跃 AI×SNS 营销人员的经验见解。

欢迎新手和潜水党 ✨ 请随意窥探 ✨

↓在此加入。

https://line.me/ti/g2/LmLu1N1cE6UBkoURbaYf_bV8l66cCyotSJU2og

【📣公告 2📣】

推出面向高管/企业主的 AI 咨询服务。

【服务内容】

・SNS 自动化支持（X、Threads、Instagram、TikTok、YouTube）

・AI 员工构建支持

・AI 工具/App 创建

根据需求定制，以最大化收入。

https://x.com/Sokichi_Hoshino/status/2096779529129980242