钩子与插件正成为跨 harness 的接口层,可移植的是事件名,不可移植的是权限阶段与失败语义:Claude Code 这周把 updatedInput 当不可信输入、给 prompt/agent 钩子单事件并发封顶 12,并堵上沙箱写插件目录后被箱外重载;DeepSeek Harness 则明说 Mods 兼容只验证能力子集。移植前先对评估顺序。
钩子与插件成为跨 harness 的接口层:Claude Code 收紧 hook 输入校验、并发与插件目录的沙箱写路径,DeepSeek Harness 把 Mods 兼容降级为能力子集验证——可移植的是事件名,不是权限边界
今日判词：今天的主位移是插件/钩子层从各家私有的扩展面变成可互相参照的接口层,但边界并不同构。Claude Code 2.1.299(10/14)堵上沙箱内命令写 --plugin-dir、其代码随后在箱外被重载执行;2.1.300(10/14)把 PreToolUse/PermissionRequest 的 updatedInput 按模型输入校验——未知键丢弃、工具拒绝即拒;2.1.302(10/16)给 prompt/agent 钩子单事件并发封顶 12、其余排队;2.1.299 还修了 Windows 无 shell 时 PreToolUse/PermissionRequest 失败即放行。另一侧,DeepSeek Harness v0.2.1-rc.1(10/17)的 Claude Code Mods 兼容层自述只为验证 Mods API 是自家插件能力的子集,而非完整可用兼容。判词:插件生态的移植成本不在 API 签名,而在权限评估顺序、输入校验与失败语义;官方插件目录已到 42.7k★,分发快了,审代码这一步不能外包。
热度盘面 Top 6
-
安全面连更:2.1.299(10/14)修沙箱内 shell 可写 --plugin-dir、其代码随后在沙箱外被重载执行(等同逃逸),并修 macOS 符号链接绕过与 Windows 无 shell 时 PreToolUse/PermissionRequest 失败放行;2.1.300(10/14)把 PreToolUse/PermissionRequest 的 updatedInput 按模型输入校验,未知键丢弃、工具拒绝即拒;2.1.302(10/16)给 prompt/agent 钩子单事件并发上限于 12、其余排队。2.1.303(10/18)仅写 bug fixes。
编辑注 三条改动指向同一件事:钩子输出是执行面,不是可信配置。行动:把 updatedInput 当外部输入审;依赖钩子顺序的编排要按 12 并发上限重算;确认 --plugin-dir 不在沙箱可写路径里。
-
0.163.0(10/15)把护栏推进到运行时与协议层:网络代理先授权 host 再做 DNS 解析、拒绝重复 Host 头、阻断凭据别名绕过 MITM 检查;命令与文件操作前跑策略化文件内容完整性校验(bubblewrap/Seatbelt 后端);恢复线程时权限与网络审批按当前策略重建。另有只读工具并行、回合中途 steering、中断时取消 Code Mode 与嵌套工具。
编辑注 护栏不再只审命令字符串:重复 Host、凭据别名、被替换的文件内容都是绕过面。跟法:网络审批放在 DNS 之前,完整性校验放在命令之前;恢复会话时别无条件信旧审批。
-
v0.2.1-rc.1(10/17)的插件内核继续扩张:自定义插件索引、让 agent 在 Creator 模式里创建插件、working_directory 工具与 TS/Python SDK;实验性 Claude Code Mods 兼容层自述只为验证 Mods API 能力是其插件能力的子集,而非完整可用兼容;rc.2 同日加 DeepSeek-V4.1-Flash-1017 与 Search/Fetch API。
编辑注 把兼容目标写成"验证子集"是克制的,也是提醒:事件名之外,改写点、权限阶段、UI 位置才是真契约。评估跨 harness 插件时先列依赖面,再看对方能否在你需要的阶段触发。
-
官方插件目录进 trending(42.7k★,今日 +1,175):分 Anthropic 自维护的 /plugins 与第三方 /external_plugins,经 /plugin 安装,Apache-2.0;README 明确 Anthropic 不控制插件内含的 MCP server、文件或其他软件,也不保证它们按预期工作或保持不变;插件名不可变,改名只能走 renames 迁移。
编辑注 目录解决发现,不解决信任。装第三方插件前审 .mcp.json、随包命令与 skills,并锁 commit sha;别把"在官方目录"读成"已审计"。
-
Orca(MIT,96.7k★,今日 +1,146):每个 agent 跑在独立 git worktree,一个 prompt 最多分发给 5 个 agent 比较后择优合并;桌面/移动/SSH 远端经 relay,账号可热切换并显示 Claude/Codex 用量与限流;自述支持任意 CLI agent,列出 Claude Code/Codex/Grok/Cursor/Copilot 等。
编辑注 并行 agent 的瓶颈已从模型转到工作区与凭据:worktree 管冲突,账号热切换则把凭据聚合进一个进程。选型先问凭据留存/审计与逐 agent 隔离,再看支持列表。
-
ai-memory(MIT,Rust 单二进制,10.5k★,今日 +512):跨会话记忆的源是 git 里的 markdown wiki,数据库只是可重建索引;生命周期钩子采集 prompt、工具调用与会话边界,存前过 typed privacy 边界,会话结束整理成页,下次注入有界 brief 并可搜索;handoff 是带 owner、一次性认领的协议,默认零 LLM 调用。
编辑注 记忆层应先定"源可读、索引可丢":换 harness 或重建索引时,这决定了记忆是不是迁移债。多 harness 接入优先走钩子 + MCP,别绑私有 API。
雷达上值得盯的 2 件事
release Agno v3.1.4(10/16):ClaudeAgent/CodexAgent 可跑进 DockerSandbox 或 AgentCore 的按会话沙箱。Docker 侧 UID 1000、只读根、默认无网络、不挂宿主或 Docker socket;每回合从 checkpoint 恢复并校验原生会话 ID,缺失即以 native_state_missing 失败,不静默新开对话。
trend 兼容层在双向铺开:DeepSeek Harness 的官方目录提供 Claude Code/Codex bundles(headless、SDK、ACP profiles),同时又用 Mods 兼容层反向验证自家插件 API。跨 harness 移植更像"对齐事件与权限阶段",不是照搬 API。