这期讲了什么

2026 年 10 月 27 日，Latent Space 发布了一期 107 分钟的对谈，嘉宾是 Anthropic 的 Katelyn Lesse 和 Angela Jiang。主题是 Claude Platform 背后的工程：Opus 5.5 的发布、API 扩容、托管代理怎么跑得稳，以及节目名字里的那件事——把模型的「大脑」和代理的「手」分开。

Show notes 把架构明确拆成三块：大脑、harness、沙箱。对做代理的人来说，这是整期最有价值的一句话，因为它给了一条大部分自建代理都会糊掉的边界。

这个拆分到底是什么

粗糙的做法是这样：给模型一个工具，工具用进程本身的权限执行，结果原样回给模型。所有东西挤在一处，包括凭据。

拆开之后是这样：

  • 大脑决定该做什么。它读上下文、做计划、发出一次工具调用。它不持有密码、不持有 API key、也不持有文件句柄。
  • Harness 把意图翻译成真实操作——用哪个工具、什么参数、什么顺序——并在中间执行策略。
  • 沙箱负责执行。它是唯一接触文件系统、网络和凭据库的一层，而且只能碰被划给它的范围。

价值不在于优雅，而在于三层各自坏得不一样，也各自能被单独约束。一次提示注入就算骗过了大脑，还要过 harness 那关（它根本不会发出那个调用），再过沙箱那关（它压根看不到那个文件）。

为什么凭据该放在「手」这一侧

第 1:05:25 那段讲的是保护凭据和沙箱，也是整套设计的操作核心。如果你的 API key 和不可信文本——网页、邮件、PDF——躺在同一个上下文窗口里，那你等于把攻击者需要的原语亲手递了过去。

把凭据留在执行侧，意味着模型可以「请求」发一封邮件，却从头到尾不知道 SMTP 密码。harness 去做认证，模型只负责说出要做什么。这就是「代理握着你的密码」和「代理能请求一个你预先授权的具体操作」之间的差别。

对桌面代理来说，这是全部。因为这台机器上什么都有：浏览器登录态、保存的密码、报税文件、工作文档。一个用你完整权限跑起来的代理不是助手，那是一个礼貌的远程 shell。

最不性感的部分：用 Rust 重写 Messages API

第 56:05 段转到用 Rust 重写 Messages API。这类细节很少出现在发布稿里，却决定一个平台撑不撑得住。两件事是配套的：托管代理意味着长会话、重试和大量并发连接，而这正是重写能回本的负载。

对小团队来说，这里的教训是「力气该花在哪」。多数人把时间花在提示词和工具上，真正让他们翻车的是超时、写到一半、进程中途挂掉。基础设施本身就是功能。

搬到 Windows 桌面上怎么用

不需要 Anthropic 的平台，这台机器上就能落地四条：

  1. 规划者和执行者分开。 一个负责决定，另一个负责动手。如果你的模型调用能直接执行 Move-Item，那就没有边界。
  2. 执行者只给文件夹，不给整个盘。 它能碰 D:\工作\Q4，再往上就不行。
  3. 机密不进上下文。 模型永远不该看到它请求使用的那个密码。审批提示才是接口，凭据不是。
  4. 日志记在执行侧。 大脑的叙述是故事，执行器的日志是证据。两者冲突时，以日志为准。

MOOGH 用的就是这个模型：先把计划摆给你看，执行发生在限定权限下，操作历史由真正干活的那一侧记录。下载 MOOGH，看一眼审批那一步实际长什么样。

相关阅读

常见问题

这样拆会不会让代理变慢？

会多一跳，节目的说法也是速度和安全是刻意的取舍。对长时间运行的托管代理来说，瓶颈通常是可靠性，不是这一层转发。

光有沙箱够吗？

不够。只有隔离没有限权，只是把影响范围挪了个位置。价值来自组合：模型说不出 harness 不批准的操作，沙箱碰不到没划给它的东西。