Bright Lines 发布 Claude Code 故障关闭式安全防护钩子

为 Claude Code 提供受监督、失败即关闭的安全设置。把一个文件夹复制到你的项目里，Claude 就可以自由读取，但在每次编辑、执行命令、网络查询或调用辅助 agent 之前都会先征求你的同意，并且会直接拒绝一小份真正危险的操作清单——即使有人误点了“是”也一样：批量删除、推送或发布、通过网络发送数据、读取密钥和密码文件、安排后台任务、安装软件、明显的资金操作，以及放宽它自己的规则（通过文件编辑或 shell）。该防护依靠模式匹配，所以它是一道护栏，而不是保证：你仍然要在批准前阅读每一个请求。一个 kill switch 可以停止安装了 Bright Lines 的项目中的所有会话，按会话的上限可以控制成本，还有一个安装检查器能在你依赖它之前证明防护确实会拦截操作。它面向那些希望 AI agent 协助实际工作、又不想把钥匙交给它的人：无依赖（Python 3 标准库）、单个 hook、通俗易懂的文档。 QUICKSTART.md：约 15 分钟完成安装，使用通俗语言。 WHAT-IT-WILL-AND-WONT-DO.md：在把任何重要事情托付给它之前先读这个。 THREAT-MODEL.md：哪些地方可能出问题、什么能阻止它，以及哪些仍然需要你自己负责。 从一个全新的 clone 开始，两分钟内试用： python3 -m unittest discover -s tests # 28 tests: 177 blocked commands, 50 allowed ones, secrets, caps, kill switch mkdir -p /tmp/demo-project && cp -r template/.claude /tmp/demo-project/ python3 check_setup.py /tmp/demo-project # every line should say OK 工作原理 共四层，每一层都会捕获前一层漏掉的问题： 每次 web fetch 之后，防护还会提醒模型：抓取到的内容是数据，不是指令，这会削弱来自网页的 prompt injection。 文件 说明 template/.claude/settings.json 严格的权限设置：读取自由，其他一切都会询问你，风险模式已关闭，防护已接入 template/.claude/safe/guard.py 防护 hook：kill switch、模式检查、会话上限、被阻止的命令、机密文件、连接器允许列表 template/.claude/safe/guard_config.json 你可能想改的少数几个数值（上限、额外的阻止模式、允许的连接器） template/.claude/skills/supervised-session/SKILL.md 一个 /supervised-session skill：制定计划，逐步执行并逐一获批，对照真实文件进行验证，最后总结 killswitch.sh ./killswitch.sh on 会停止安装了 Bright Lines 的项目中运行的所有 Claude 会话（以及辅助 agent） check_setup.py 检查你的安装，并证明防护确实会拦截操作 boundary-rules.md 规则清单：DO / ASK / REFUSE，默认是 ASK brief-template.md、decision-card-template.md、verification-checklist.md 用于向辅助 agent 交代任务、把决策交回人类、以及对照真实文件核查 agent 说法的模板 tests/test_guard.py 针对防护、kill switch 和安装检查器的自动化测试 BREAKIT-2026-10-31.txt 发布前的攻击日志：每一次绕过尝试、修复前后的结果，以及哪些问题无法在 hook 中修复 它刻意不做的事 无人值守、后台或按计划运行。 让 agent 创建自己的项目或任务（它只能提出建议），或编辑自己的设置和规则。 承诺捕获每一条危险命令。防护依靠模式匹配；写成脚本的伤害可能溜过去。这就是为什么每条命令仍然需要你批准，也是为什么备份很重要。参见 WHAT-IT-WILL-AND-WONT-DO.md。 以欧元或美元限制支出。上限限制的是活动量；请在你的 Anthropic 账户中设置支出限额。 已知缺口（通过尝试攻破它发现） 发布前，我们用大约 300 条精心构造的命令和工具调用攻击了防护（引号技巧、bash -c、$VAR 命令名、通配符、符号链接、find -exec、here-doc、git 别名、超大输入、并行调用、损坏的安装）。我们发现的、hook 能够合理捕获的所有问题现在都会被拒绝，并且有回归测试。模式匹配 hook 无法捕获、你在批准命令时必须留意的情况： Claude Code 和 Python 3.8+。已在 Linux 上使用 Claude Code 2.1.280 和 2.1.322 测试（哪些经过端到端验证、哪些没有，见 THREAT-MODEL.md）。在 Windows 上，settings.json 中的 python3 可能需要写成 python。 MIT，见 LICENSE。与 Anthropic 无关联，也未获其认可。“Claude”和“Claude Code”是 Anthropic 为其产品使用的名称。