Agent 写一堆 tool allowlist，不等于有边界。 真护城河是 deny 用例： • 故意调一个禁工具 / 越权路径 • 必须失败，而且能复跑 • 最好钉进 CI：红了就别合并 核对点：你的流水线里有没有一条「故意越权必须失败」？没有的话，白名单只是装饰。 图是示意图，不是实测截图。

Skills 好用，但不是免费的。 每装一个，就在抢同块 context。 我现在会先问一句：加载完三个 Skill 之后，Agent 还能不能准确复述任务目标？ 复述丢了，就先砍 Skill，别先怪模型。 图示意图，不是实测截图。

本地 Agent 慢一点还能忍。 最怕失败了回不去。 上线前先钉三件事：失败态怎么标（超时/工具报错/半成品），能不能一键回滚到上次可复跑版本，以及谁改了什么能回放。 核对点：你上次翻车是靠重开聊天救的，还是真有回滚命令？ 图是示意图，不是实测截图。

Agent 说「做完了」不算完成。 完成 = 过验收闸： • 可复跑命令 • 可核对产物（diff / 文件 / URL） • 失败即未完成 核对点：你的 done 条件写进脚本了吗，还是靠聊天里点头？ 图是示意图，不是实测截图。

Computer Use 最怕的不是点错按钮。 是「能点」被当成「该点」。 三道闸少一格就别吹安全： • Scope：窗口/域名/路径白名单 • Confirm：删/发/付/装必须人确认 • Audit：事后能回放谁点了什么 核对点：这三道你能画进架构图吗？画不出，CU 还是裸奔。 图是示意图，不是实测截图。

Agent 卖「流畅」，买家买的是验收。 一单位钱到底买什么，得写进 brief： • 不是 token / 聊天轮次 • 是一条能复跑的验收命令 + 可核对产物（diff / 文件 / URL） • 过不了 = 不算完成，也不该按满血计价 核对点：你敢不敢把「一单位」钉成一条命令？钉不住就还是按感觉卖。 图是示意图，不是实测截图。

本地 agent 变慢别先怪模型。 先拆一层：是工具循环在吃时间，还是纯生成本身就慢？ 同模型、同 prompt 体量、同硬件。关掉工具循环，只跑一次生成。 验收就一问：延迟掉一半以上了吗？ 掉了 → 修调度、并行、别重复灌同一份上下文。 几乎不变 → 再谈量化砍上下。 图是示意图，不是 benchmark 截图。）

Computer Use 能点会滚，不叫护城河。 我验收就三问：拦得住？回得了？查得到？ Permission：Anthropic CU docs 写明——截图里疑似注入会被分类器拦住，先确认再继续。支付、登录、点同意条款，更别想自动过。 Rollback：batch 失败就停，后面统一回 Not executed…。跑在最小权限 VM/容器里，出事能收。 Audit：每步谁点了什么坐标 + 截图。Cursor 这边没有原生 per-tool audit，账本得自己用 hooks 记。 demo 流畅只能骗五分钟。上生产先过这三道。 （图是示意图，不是产品截图。）

不是 Skills 越多越强，先问：这段文字是不是每轮都要付税？ 对照 Cursor 可核两点： • docs：Skills 启动先只暴露 name + description；匹配后再加载 SKILL.md；重资料放 references/ 按需读 • blog（dynamic context discovery）：Skills 的 name/description 作 static context，正文动态发现；MCP 工具描述也改成按需发现——官方 A/B：在调用了 MCP 的 run 上，总 token −46.9% 可验收边界： 必须每轮都生效（风格 / 禁令 / 不变量）→ Rule 只在相关任务才用 → Skill 把长 runbook 塞进 always-on，是在交 context tax。 （图是示意图，不是产品截图。）

Agent 安全护城河，不是写在 prompt 里的「别乱来」。 对照 Cursor Hooks 文档（cursor.com/docs/hooks）可核的一点： • 默认 fail-open：hook 崩溃 / 超时 / 非法 JSON → 动作照样放行 • 安全关键路径要显式 failClosed: true：同样故障 → 直接拦下 • exit code 2 = deny（等同 permission:deny） 适用边界：格式化、埋点可以 fail-open；beforeMCPExecution / beforeReadFile / 危险 shell，口头规则不够，得 failClosed。 软规则能被对话覆写；hook 拦不住，才算真边界。

别再吹DeepSeek了。 多模态都不支持，再强也白搭。 API 价格最高飙到 27 元