Harness 原意为马具马鞍、马缰、马刺用来约束马的行动。LLM 裸跑时像脱缰野马——随机、有幻觉、无记忆加上 Tools 后更危险可能删文件、发错误邮件。Harness 就是给 LLM 套上的马具。Harness 的完整定义来自 Addy Osmani 的 Agent Harness EngineeringHarness AI model(s) 配置和约束层。LLM 是引擎Harness 是操作系统——管理资源分配、状态和进程。理解 Harness 的关键在于认识到System Prompt 本质上是一个请求模型可以选择不遵守。Harness 则是一套工程系统通过代码级别的强制力确保模型行为可控。从劝到管是从 Demo 到生产的关键一步。一、从提示到强制的演进Agent 安全控制的演进可以分为三个阶段纯 Prompt 阶段全靠 System Prompt 约束。“不要删文件”——但模型可能无视提示规则阶段在 Prompt 基础上加 Tool Schema 限制只提供受限操作Harness 阶段从 Prompt、Tool、Hook代码级别拦截、沙箱四个层面全方位约束System Prompt →请你这样做Harness →你只能这样做二、Harness 的四大核心模块1. Skill技能规则动态按需加载可写详细规则、明确要求。内容越多越不产生幻觉——模型有更多上下文可参考。类比给员工一本详细的操作手册比口头交代更可靠。Skill 的价值不仅在于教 LLM 怎么做更在于约束 LLM 只能怎么做。一个写得好的 Skill本身就是 Harness 的一部分——它通过定义标准流程来避免 LLM 发挥创造力走捷径。2. MCP Server / Tool操作约束提供受限操作如 WriteFile 替代直接 Shell 命令限制大模型只能用工具不能自由发挥。这里的关键设计思想不给 LLM 完整的操作系统能力只给经过封装的 API。比如你想让 Agent 读写文件不要给它 Shell 权限而是提供 ReadFile 和 WriteFile 两个 Tool。这样即使模型发疯它也做不了 rm -rf。类比给员工限定只能用公司提供的软件不能自己装盗版。3. Hook最强强制力将提示变为强制规则代码级别拦截。Hook 是在 Tool 调用之前或之后插入的代码逻辑可以检查、修改或拒绝执行。实际应用示例安全拦截拦截包含 rm、sudo、危险 Shell 命令的调用权限检查检查当前 Agent 是否有权限操作目标文件/API速率限制防止 Agent 在短时间内发起过多 API 调用分支检查在修改代码前检查是否在 main 分支防止直接提交内容过滤拦截 Agent 生成的敏感内容Hook 的实现方式通常是在 Agent Runtime 中注册中间件Middleware类似于 Web 框架的中间件机制。类比公司防火墙直接拦截危险操作。4. Sub Agent隔离约束子智能体有独立 Context不污染主智能体。可限制只读操作隔离执行环境。Sub Agent 的价值在于故障隔离即使子 Agent 出问题了进入死循环、产生幻觉也不会影响主 Agent 和其他子 Agent 的状态。每个子 Agent 有自己的上下文窗口、自己的 Tool 配置、自己的记忆空间。类比实习生只能看文档不能改代码。三、物理手段管控沙箱Sandbox虚拟环境LLM 在投影世界操作毁灭性操作不影响真实数据。实现方式Docker 容器、Web Worker、虚拟机。沙箱的三层隔离策略网络隔离只允许访问白名单内的 API/服务文件系统隔离在临时目录中操作结束后清理资源限制限制 CPU、内存、磁盘使用量防止 DoS监测记录反馈记录数字输出整理成人类可读的图表。必要时加入人工审核如代码 diff 确认后才写入文件。人工审核Human-in-the-loop是 Harness 中最强但最慢的控制手段在关键操作发邮件、删数据、支付之前插入等待人类确认的步骤。虽然降低了自动化程度但提供了最终的安全保障。四、Harness 的实践以 Claude Code 为例Harness 工程体现在Skill 定义详细规则和操作流程MCP Server 提供受限文件操作WriteFile、ReadFile而非 ShellHooks 拦截危险 Shell 命令和敏感操作Sub Agent 独立执行子任务不污染主 Context在 OpenClaw 中也能看到类似的 Harness 设计Hook 系统在 Tool 调用前后注入逻辑Sandbox 执行环境Skill 驱动的工作流约束Harness 的核心价值不是约束本身而是通过约束让 Agent 变得可预测、可调试、可审计。一个没有 Harness 的 Agent 在生产环境中就是一颗定时炸弹。四个模块共同目标减少幻觉和失控实现可控的 AI 行为。