harness 开始被当成积木再包一层:rig 包住 harness、harness-of-harnesses 统编 Claude Code 与 Codex——同一周横评给这层点名,六款里无一实现信息流控制

热度盘面 Top 5

1. #1 anthropics/claude-code 安全

   Claude Code 9/22–9/25 连发 2.1.280–283,继续补权限执法漏点:2.1.281 修『递归 rm 的删除目标只是命令替换输出』(如 rm -rf "$(pwd)")在 auto 与 --dangerously-skip-permissions 下会无提示执行——现在即使命中 Bash allow 规则也先问(除设 CLAUDE_CODE_DISABLE_SUBSTITUTION_RM_PROMPT=1),并把危险 rm 检查扩到 shell 变量接顶层目录名、工作目录派生变量、纯反斜杠目标;含 NUL 字节的权限规则不再被展开成通配匹配,PermissionRequest 的 agent 型 hook 被移除(其答案本无法 allow/deny)。2.1.282 修 Bash 权限规则中间带 :* 时在设置文件里被跳过(--allowedTools 却生效),managed 设置嵌套值无效时不再整块被忽略。2.1.283 修 PowerShell 工具可让 cmd /c rd、rmdir、del、erase 删驱动器根与家目录(Remove-Item 本会拒绝)。(据官方 changelog)

   编辑注 同一条 deny 这周又下沉一层:从规则文本(symlink 拼写、NUL 字节、mid-pattern :*)挪到 shell 自身的删除动词(命令替换、rd/rmdir/del/erase)。要跟的是方向——把『危险删除』判定放到变量与命令替换求值之后,而不是匹配命令长什么样;自建 harness 照这张清单自查。

2. #2 EverMind-AI/Raven 架构

   EverMind-AI/Raven v0.2.0(9/27,Apache-2.0,pre-alpha)自称『harness of harnesses』:一是可被 AI 改写的 harness 框架,把可改部分分成 Modules(playbook/子 harness 组合)、Code(pre-action 检查策略)、Prompt、Policy(工具授权与 gate)四类,配 Curator 运行时闭环 feedback→生成→验证→安装;二是上层编排,把 Raven-Research/Code/Design/Oncall 四个子 agent 与 Claude Code、Codex 用 DAG 统编(成员选择/任务分解/依赖调度/结果交接),跨会话上下文交给 EverOS,成员各自保留完整 harness。仓库自报基准:27B 56.7% / 397B 58.1%(对 Hermes 46.8%/47.9%),EvoAgentBench 第一(+6.2pp),ProAgentBench F1 0.60——均自报、接口易变。

   编辑注 值得抄的是那份四类清单(Modules/Code/Prompt/Policy),尤其 Code 与 Policy 对应 pre-action 检查与工具 gate——它等于把『自进化』明确划到动作前那一刻。但数字全自报、pre-alpha:先拿第四类做自查表,别把基准当结论。

3. #3 mvschwarz/openrig ≈980★ · +114★/24h 工具

   mvschwarz/openrig(Apache-2.0,Node20+tmux,今日 trending)自称『a harness wraps a model, a rig wraps your harnesses』:本地控制面把 Claude Code 与 Codex 会话当一个系统编排。YAML 的 RigSpec 定义拓扑(pod=共享内存的上下文组,edge=通信),rig up/down 起停并自动快照/恢复,rig discover 从现有 tmux 会话反推拓扑,rig send/broadcast/chatroom 通信,rig grow/shrink 增减节点;常备 rig 含 implementation-pair、adversarial-review、product-team。安全侧:YOLO 默认关(需 OPENRIG_YOLO=1),Claude 用 --permission-mode acceptEdits、Codex 用 -s workspace-write,但 setUp/launch 会写 workspace trust 与执行 hook,README 提示先备份 ~/.claude.json 与 config.toml;activity relay 只发事件元数据、不含 prompt 文本与工具参数。

   编辑注 把编排单位从『一个 agent』抬到『一张拓扑』,且坚持跑各家原样 CLI(不包 LLM)——方向对。但它是本地 tmux+trust 写入的形态:起一个 rig 等于同时改掉多个 harness 的信任设置,先核它写了哪些 trust/hook,再决定要不要当团队默认。

4. #4 pydantic/pydantic-ai-harness v0.35.0 / v0.36.0(9/24–25) 发布

   pydantic-ai-harness 两天连发两版:把 11 家托管 MCP 工具收进 harness(Logfire/GitHub/Linear/Notion/GoogleWorkspace/Slack/Ordinal,Grain/DayAI/PostHog/Pylon),v0.36.0 让压缩窗口直接取自 Model.context_window、pydantic-monty 下限抬到 >=1;v0.32–0.36 另含 BackgroundTools 并发工具执行、CodeMode 推测执行、阈值触发的 FallbackCompaction、跨重启会话持久化、Coder 改为六工具+持久 shell。guardrails 改动只在 v0.30.0(cancel+gather 拆解保护)。(据 releases 页)

   编辑注 信号是压缩时机从模型 context_window 推、而非写死百分比——换模型后不容易失准。跟法:核你 harness 的压缩阈值是常量还是读模型声明;把 MCP 工具面收进框架同向,但会抬高工具名单的维护成本。

5. #5 Cloudflare/Agents-Week-2026 工具

   Cloudflare 9 月下旬 Agents Week 收官,把 harness 所需件铺到网络边缘:Sandboxes 转 GA(给 agent 一台带 shell/文件系统/后台进程、可暂停续跑的隔离机)、托管 Agent Memory(跨会话记忆)、Outbound Workers 作可编程零信任出网代理(在边缘注入凭据、按策略放行,不把 token 交给不可信代码)、Access 的托管 OAuth(RFC 9728)让 agent 免服务账号认证、MCP 参考架构配 Code Mode,另有 Cloudflare Mesh(Workers VPC)与 Workflow 并发控制面。厂商自报 50k 并发、22% 体积压缩等数字,按厂商数据读。

   编辑注 本期的『组合层』在 Cloudflare 这里变成网络基建:出网、凭据注入、身份都收进边缘代理——恰是横评说六款 harness 都缺的信息流控制/身份那一块。跟法:若让 agent 出网,先看能不能把 egress 与凭据注入收到一个可审计代理后,再谈框架选型。

雷达上值得盯的 3 件事