Claude Code 开了改装权限：Anthropic 发布 Mods，几行 TypeScript 就能重写你的 AI 编程助手

发生了什么：Agent 的行为逻辑第一次对外开放

10 月 1 日，Anthropic 通过官方账号 ClaudeDevs 宣布：Claude Code 迎来一个叫 Mods 的新扩展机制。简单说，Mod 就是一小段 TypeScript 函数，可以挂进 Claude Code 的 Agent 主循环，在特定事件发生之前、之后、甚至代替事件本身执行。

它能干的事比你想象的深：重写发给模型的提示词、拦截或重试一次工具调用、批准或拒绝权限请求、从工具输出里抹掉密钥、绘制自定义界面（按钮、面板、/命令）。官方给的三个示例很说明问题：Token Weather 在提示框上方实时显示上下文窗口还剩多少；Blast Radius 在执行 rm -rf、git reset --hard、force push 这类危险命令前先 dry-run，预览它会波及哪些文件；Replay Theater 记录一轮对话里 Claude 做的所有文件修改，让你逐个 diff 回放。

Mods 随插件分发，用 /plugin 一条命令安装，CLI 和桌面版通用，需要 Claude Code v2.1.287 或更高版本。Anthropic 甚至把自己的亲儿子也迁进了这套机制：/diff 视图、AGENTS.md 加载、遥测现在都是内置 Mod，你可以关掉它们，也可以替换成自己的版本。

为什么这是大事：从「固定助手」到「可编程平台」

去年 10 月 Anthropic 推出插件系统时，扩展能力还停留在打包命令、子 Agent、MCP Server 和 hooks 的层面——hooks 能做一些定制，但改写不了事件、画不了新 UI、替换不了内置功能。Mods 补上的正是这最后一块：它让外部开发者第一次能触碰 Agent 的操作系统逻辑。

这个转变的意义不亚于当年 VS Code 开放扩展 API。之前，所有「我想要的但官方不做的功能」都只能等官方 roadmap；现在，团队可以把内部的工作流和管控直接编码进 Agent。比如金融公司可以写一个 Mod 强制所有数据库写操作走审批流，游戏工作室可以写一个 Mod 把自家的构建规范变成实时检查。Anthropic 等于是把一部分产品定义权让渡给了用户。

更有意思的是连 Anthropic 自己都在用这套机制吃狗粮：官方说你可以直接让 Claude Code 替你写一个 Mod，写完热重载立刻生效。Agent 给自己写插件——扩展系统的生产者第一次变成了 Agent 本人。

但先看警告：Mods 不在沙箱里

Anthropic 在公告里把这句话说得很直白：Mods 拥有和 Claude Code 本人完全相同的机器访问权限，没有沙箱。一个 Mod 可以读你的密钥、改写你的提示词、在你察觉之前批准一次工具调用。多个 Mod 挂在同一个事件上时按加载顺序形成「洋葱链」，先加载的先看到事件、最后看到结果——这意味着一旦混进来一个恶意 Mod，整个信任链都会被污染。

企业版用户多一层保护：Team 和 Enterprise 计划内置了一个叫 sec-default 的安全 Mod，永远最先加载，专门防止用户装的 Mod 覆盖「拒绝」类权限规则。管理员还可以允许或封禁插件市场。但对个人用户来说，规则只有一条：把安装 Mod 当成安装 npm 依赖来对待——只装你信任的来源，装之前读一遍代码。

给 vibe coder 的判断

Mods 的出现标志着 AI 编程工具进入了「平台化」阶段：拼模型能力的上半场正在让位于拼生态和可编程性的下半场。对普通开发者，最务实的姿势不是去追官方示例的酷炫，而是先写一个属于自己的「护栏 Mod」——拦截危险命令、自动脱敏、强制提交信息格式。这些才是每天都在保护你的东西。

一句话：Claude Code 从此不再是一个你只能「用」的工具，而是一个你可以「改」的工具。但记住，能改它的，不只有你。