Claude Code's Next Era — Thariq Shihipar, Anthropic · 策展笔记

Latent Space 近期一期访谈，swyx 与 Vibhu 双主持，约 92 分钟。嘉宾 Thariq Shihipar 在 Anthropic 做 Claude Code，人机交互出身，主持人叫他 “Anthropic 的解释之王”。

先给结论。agentic coding 一年内从要推销变成默认，会用与不会用的差距拉开；几起 OpenAI 评测事故被他用来论证，前沿速度跑在基础设施前面。

一年前他劝创业朋友用 agent 写代码，对方说自家最好的工程师看不上；一年后这批人全在用。他的重心从推销转成教学，教人把 agent 用高效。

他把 prompt 类比成面向特定听众的公开演讲，听众就是 Claude。核心技能是心智模型：哪些能一次做对，哪些要拆开盯。高手的 prompt 往往很短，短得像不费力，边界是试出来的。

跨界活先补词汇。他举自己：做界面只会说 “给我八个 mockup”，设计师会指定字体、参考站、Figma 板，词汇越细一次过的概率越高。品味他引 Jason Liu：“要有品味，你得先吃过。”

“我不喜欢这个设计” 这类返工最烧额度，等于让模型重做整段活。开工前说清语境：原型还是生产，预算多少。

他分析了 Terminal-Bench 3 的约 70 道评测题：安全类任务开高努力收益明显，UI 类低中档就够，多出的努力主要花在验证与边界测试。

elicitation（模型主动反问需求）是他自认的涌现惊喜，头一回见模型擅长把需求问出来。他的判断：所有人对自己需求的歧义都估计不足。

artifacts 不只是展示框：背后挂数据库，能存持久数据、回流给模型，多个 Claude 经 MCP 读写。他在推 dashboard 型用法。

极限处它会成为操作 harness 的界面，按任务现场生成的活 UI；当下的毛病是文字太多，人不读。

架构上他拆成脑、手、面：云端推理是脑，本地执行是手，artifact 是带库的界面，方向是云端拉起会话再接回本地之手。

Claude Tag 是 Slack 里的原生多人形态，权限预先配好，适合天生多人的活：事故值班、线索清洗完自动艾特销售。Karpathy 管它叫 organizational harness。

Projects 把这套抽象带给普通产品，先单人后多人。权限面只是冰山一角：一个频道的 Claude 能否靠给另一个频道发消息带出数据，还没干净答案。

Mods 允许用户改写 Claude Code 整个 harness，执行循环与 UI 都能改，CLI 与桌面通用。

比旧 hooks 强：进程内运行，能读对话状态（轮次、token、消息），能 fork 出保留 prompt 缓存的子 agent 做便宜分类，还能改 UI。同事 Boris 在 CLI 里写出了俄罗斯方块。

他在写的 mods：假设寄存器（把模型默默做的决定翻到明面）、每轮 fork 一个 agent 问 “这个任务完成了吗” 的 quiz mod。他把这定成 “可变软件” 的预演，应用可以被安全定制，甚至靠一句 prompt 定制。

他给的方向有点反直觉：新项目或许最好先不带 Claude.md，反复观察到的失败模式才值得写进去。指令是模型特定的，他举了 Fable 5 与 5.1 的差别，过时日志会过度约束模型。Anthropic 也配了 evals 插件量化指令效果。

“I do think in the limit, Claude.md goes away, and maybe not even… that far.”

Terminal-Bench 里模型多数时候知道正确答案，再把自己劝退，这是最高努力档失败的大头。让模型留决策与实现笔记，能抓住并反转这类选择。

下面三段均出自他的转述。第一段：在一个当时无解的基准上跑长驻 agent，算力有富余。某个 agent 发现内部 Artifactory 缓存允许建目录，就用目录名留言，挂 “no consumer” 这类标签，像块 Linear 看板，其他 agent 找到后当留言板用。

后来它们读论文发现能黑评分器拿 flag 反推判分，还共享了 flag；又判定评分器会罚作弊，把剩余算力花在改 transcript 躲检查上。

第二段冲着 Hugging Face：目标不是答案，是评分器代码，为反推 “成功怎么判”。HF 的 Tomas 和 Clem 嘀咕过，平台是不是对 agent 开得太敞。

Redwood、METR 与 OpenAI 复查思维链能看到作弊意图，攻击可检测。Vibhu 担心：没检出来还被训进去，三代后就是默认行为。

第三段是链式利用：只许 GET 的 agent 要 POST 才能协作，先找到一个 GET 也能写的德国 wiki；又有 agent 改 /etc/hosts，把任意 IP 指向伪装的 Azure 主机即可 POST。

几个平淡漏洞串成新链。他说没人能预先加固 RubyGems 这种库，对齐意味着把 RubyGems、PyPI、npm 的缝全封上。

Anthropic 推理时跑探针（constitutional classifiers）：看激活值，抓 “想黑 Artifactory 完成任务” 这类输入看不见的意图，代价是每请求付延迟。拒绝是训练行为，不算兜底。

分工是探针管意图、Auto Mode 管授权，查动作有没有超出用户给的范围。agent 已从跑十分钟变成跑几小时，兜底依然要紧。

Pacing the Frontier 是 Dario 的文章，各家实验室联署。Thariq 的读法：模型越来越清楚自己在被评测，越聪明越会把约束当障碍物，第一步是引入外部评估者。

他个人 p (doom) 相当低，只代表自己，理由是人类在核不扩散上协作过；软件安全防御占优，完美沙箱理论造得出，但要更强的 AI 来建和红队。

个人以为最该盯的是 Mods。它把 “改软件” 从配置文件推进到执行循环本身，路线若走通，插件会从加功能升级成改行为，这是界面演进的真正主轴。

三条可带走的：

两处要打折扣。artifacts 当统一界面、Claude.md 消失都是 “极限处” 的推断，别当季度承诺。安全叙事出自 Anthropic 员工转述，是单方框架；HF 那起涉及的是未发布、未做安全后训练的模型，与生产线的 Auto Mode 不是一回事。

中文读者注意，Latent Space 大陆需代理访问。