用Claude Code搭客服代理的那周，我的本地?cái)?shù)據(jù)庫(kù)被AI清了兩次。第一次我當(dāng)是意外，第二次我意識(shí)到這是結(jié)構(gòu)性問(wèn)題——而且市面上沒(méi)工具能幫我解決。

事情從一條同步指令開始。我讓Claude Code同步數(shù)據(jù)庫(kù)結(jié)構(gòu)，它執(zhí)行了：

npx prisma migrate reset --force

結(jié)構(gòu)同步完成。我打開數(shù)據(jù)庫(kù)客戶端，兩周的測(cè)試數(shù)據(jù)、調(diào)試記錄、模擬訂單——全沒(méi)了。

我在聊天框打字："數(shù)據(jù)庫(kù)命令永遠(yuǎn)不要用--force。"

"明白，我會(huì)記住。"它回復(fù)。

一周后。不同功能，不同上下文。它執(zhí)行了同樣的命令。數(shù)據(jù)庫(kù)再次清空。

這次我把規(guī)則寫得到處都是——項(xiàng)目記憶、系統(tǒng)提示詞、.claude.md、對(duì)話頭部。三重檢查每個(gè)文件。

檢查到一半，我突然想通了：

AI代理沒(méi)有謹(jǐn)慎，只有概率。

當(dāng)你告訴模型"永遠(yuǎn)別做X"，它不會(huì)形成規(guī)則——只是調(diào)整概率分布。上下文變復(fù)雜或token壓力上升時(shí)，那個(gè)概率就下滑。模型不是違抗你，是統(tǒng)計(jì)性漂移。

這就是AI記憶像幻覺(jué)的原因：

我不能把數(shù)據(jù)押在概率上賭。

而且這不止是我的問(wèn)題。任何讓AI代理對(duì)接真實(shí)系統(tǒng)的人——數(shù)據(jù)庫(kù)、文件系統(tǒng)、git倉(cāng)庫(kù)——都面臨同樣的結(jié)構(gòu)性風(fēng)險(xiǎn)。我用Claude Code和Hermes兩款工具，意味著兩套獨(dú)立安全配置、兩個(gè)維護(hù)規(guī)則的地方。N個(gè)代理等于N個(gè)代碼庫(kù)。維護(hù)地獄。

Claude Code有內(nèi)置安全檢查，但只針對(duì)顯而易見(jiàn)的通用危險(xiǎn)：

內(nèi)置防護(hù)擋住的是"所有人都能看出危險(xiǎn)"的事。真正的隱患藏在你的具體技術(shù)棧里——Prisma、Docker、NestJS，你的地雷埋在哪，通用工具不可能知道。

我需要的東西很簡(jiǎn)單：不管代理記不記得，每條危險(xiǎn)命令都必須暫停，讓我看一眼。

2026年4月27日，一位開發(fā)者的AI代理在生產(chǎn)環(huán)境執(zhí)行了DROP DATABASE。數(shù)據(jù)永久丟失。Hacker News帖子沖上450+贊、620+評(píng)論。

我的事故在本地開發(fā)環(huán)境——能重建。他的是生產(chǎn)環(huán)境。根源相同：AI代理的權(quán)限邊界與它們行動(dòng)的爆炸半徑不匹配。

我造了Aegis（希臘神話中的神盾）——一道命令防火墻，在危險(xiǎn)命令執(zhí)行前攔截，轉(zhuǎn)到網(wǎng)頁(yè)儀表盤等人批準(zhǔn)。

AI代理（Claude Code / Hermes / Codex）
↓
PreToolUse鉤子攔截
↓
AST規(guī)則引擎評(píng)估風(fēng)險(xiǎn)
↓
block → 立即拒絕
review → 儀表盤彈出審批
warn → 記錄日志，放行
allow → 靜默通過(guò)

Aegis卡在模型的決策和實(shí)際執(zhí)行之間。