`anthropics/claude-code`：开发型智能体的运行时架构与交互式控制内核¶

在软件开发型智能体（Coding Agent）的系统建设中，大模型本身不等于应用，它仅仅是意图判定源。由 Anthropic 推出的 Claude Code 代表了当今最顶尖的交互式编程智能体设计。它的底层是一个高度工程化的本地任务运行时（Local Task Runtime）。理解 Claude Code 的架构重心，应聚焦于其 QueryEngine 状态机控制环、TTY 同步阻塞安全拦截以及反应式上下文压缩机制。

1. QueryEngine 统一状态机与 Transcript 循环¶

Claude Code 的核心是 QueryEngine（查询引擎）。它将一次复杂的编程任务抽象为一系列可恢复的状态转移过程，并在本地维持一个 Transcript（转录历史）循环。

  [用户输入 / 斜杠命令]
          │
          v
  ┌────────────────────────────────────────────────────────┐
  │ 1. Context Synthesis (上下文组装)                       │
  │    - 装配 CLAUDE.md 项目规范 & User Settings            │
  │    - 提取 Git Diff 现场 & Memory 历史记录              │
  │    - 按 Token 水位进行启发式剪枝或摘要引入               │
  └───────────────────────┬────────────────────────────────┘
                          │ 
                          v
  ┌────────────────────────────────────────────────────────┐
  │ 2. Unified Transcript Loop (转录推进循环)              │
  │    ┌──> 向 Claude API 发流式采样请求                    │
  │    ├──> 拦截 Assistant 返回的 tool_use (工具意图)        │
  │    ├──> 【安全阀】触发 Hook / TTY 拦截审批               │
  │    ├──> 执行本地处理器 (Bash/File I/O)                 │
  │    └──> 将工具执行结果 (tool_result) 追加回 Transcript  │
  └───────────────────────┬────────────────────────────────┘
                          │ 
                          │ 终止条件满足 (无后续工具调用 / 编译通过)
                          v
  [输出最终 Patch 或总结]

1.1 核心流程组件：¶

CLAUDE.md 规范约束：项目根目录下的 CLAUDE.md 被赋予注意力机制的最高优先级，作为系统 System Prompt 的基准规约，强制约束智能体在生成代码时必须遵循的特定编译指令、测试命令与代码风格，从根本上抑制了生成方案与项目固有规范的冲突。
状态回载与持久化：所有的 API 消息、工具参数及执行返回值被实时序列化为 JSON 追加进本地转录文件。这意味着如果中途网络超时或进程中断，系统能通过加载该 JSON 文件秒级“满血恢复”到刚才的崩溃现场，无痛继续推进任务。

2. TTY 同步阻断式多级安全阀与拦截 Hook 机制¶

当 Agent 具备在本地物理环境执行 Shell 命令（rm -rf 等）和修改磁盘文件的巨大权力时，安全绝不能仅依赖 Prompt 里的道德说教，而必须通过物理运行时拦截守住底线。

TTY 交互式同步劫持 (Synchronous TTY Blocking)：当本地工具运行时识别到大模型提出了写操作（如修改敏感代码）或执行非只读的 Bash 命令时，引擎会挂起当前的 JavaScript 异步流，直接接管控制台的标准输入输出（Stdio/TTY），输出确认提示： ? Approve command "npm run build"? [y/N]。如果用户输入 N，运行时会直接生成一个带有“用户拒绝执行”标记的 tool_result 回传给模型，阻断其触碰本地物理系统，同时引导模型改变技术路线。
静态黑名单防御拦截 (Command Blacklisting)：在执行任何 Bash 意图前，运行时会通过简单的抽象语法树（AST）分析或正则匹配，扫描命令中是否包含 sudo、破坏性删除、或跨目录越权读写。一旦触发黑名单，引擎直接拦截并自动生成报错信息回填，杜绝模型由于逻辑混乱导致的删库事故。

3. 反应式上下文压缩与子代理（Subagent）协调调度¶

长周期编程任务（如“修复一个包含 20 个文件的 Bug”）会导致会话消息迅速堆叠，引发 Context 崩溃。Claude Code 采用了双重上下文压榨算法：

反应式压缩（Reactive Compaction）：当 Transcript 累计的 Token 数触及极限水位（如 \(120\text{K}\) Tokens）时，运行时会自动在后台拉起一个轻量级压缩循环，将前部已完成的冗余命令输出（如长达 100 行的 npm install 输出日志）进行物理解析并替换为高度浓缩的元描述摘要（Summary Attachment），只保留结果，瞬间释放 80% 的注意力带宽。
子代理分发机制（Subagents Coordinator）：面对极其繁琐的横切扫描任务（如“在全库中 Grep 检索特定模块的所有调用点”），主 QueryEngine 不会直接把成千上万行的搜索噪声塞进主历史中。主 Agent 会动态生成一个 Subagent 实例，为其分配只读且物理独立的微型上下文窗口去执行扫描。Subagent 执行结束后，协调器（Coordinator）只提取过滤后的核心结论反馈给主 Agent。这防止了主上下文被中间探索噪声彻底淹没，极大地保障了长任务决策的清醒度。

4. 资深系统架构师面试表达方案¶

面试提问：在开发像 Claude Code 这样可以直接在本地执行命令、修改文件的高危 Agent 应用时，你是如何从运行时层面保障系统安全与性能确定性的？

回答模版： 开发一个高实效的 Coding Agent，安全边界是应用生死的硬底线，而上下文膨胀则是限制长周期任务成功的物理天花板。

在架构层面，我们实施了严密的三重底座防御体系：第一，物理 TTY 同步拦截（Interactive Security Gate）：我们绝不相信模型的自我约束。当大模型产生高危 Bash 执行或文件写意图时，本地运行时（Runtime）会瞬间挂起异步线程，通过 TTY 交互通道强制同步阻断并问询用户。如果用户拒绝或触发静态指令黑名单，执行器会优雅生成“用户拒绝”的标准协议帧灌回模型，引导模型在安全的物理边界内修正路线。

第二，分流隔离的 Subagent 协调器（Subagent Orchestration）：面对探索范围极大的读写和 Grep 扫描任务，我们严禁主 Agent 直接承担计算，以防海量日志瞬间打爆 Context 内存。我们引入 Subagent 隔离机制，由主协调器动态派生出只读且具备短生命周期的子代理执行碎片扫描，主 Agent 仅接收收纳后的精炼结论，从而维持主上下文的纯净度。

第三，基于反应式信息压缩的 Transcript 持久化（State Persistence & Compaction）：我们将整个运行状态序列化为 JSON 驱动的持久化转录流，并在 Token 逼近水位线时自动启动反应式剪枝，保留因果证据链而物理洗碎中间命令垃圾。这套架构完美平衡了开发过程中的“执行时效性”与“安全确定性”，为构建工业级开发智能体奠定了扎实的架构范式。

anthropics/claude-code：开发型智能体的运行时架构与交互式控制内核¶