参考资料

• OpenAI Agents SDK
• OWASP Agentic Security

Harness Engineering（10） - Hooks 与 Skill 扩展加载机制

读完后，你应能完成以下任务：

• 绘制“Harness Engineering（10） - Hooks 与 Skill 扩展加载机制 / 为什么扩展机制很重要”的关键对象与数据流，解释“容易改崩：核心循环是 Agent 的心跳，动一下满盘皆输。”，并用源码位置、日志或 Trace 标注证据。
• 为“Harness Engineering（10） - Hooks 与 Skill 扩展加载机制 / Hooks：在循环的关键节点"拦一道"”设计正常与异常输入，验证“Hook（钩子）是挂在循环关键节点上的回调函数。”，输出首个偏差位置与回归测试结果。
• 实现“Harness Engineering（10） - Hooks 与 Skill 扩展加载机制 / Skills / 命令：把"一套打法"封装起来复用”的最小代码或配置，检验“Hook 是"在节点上拦"，”，输出命令、结果与 Diff，并说明不适用边界。

你的 harness 核心循环已经很稳了。现在想加新能力——自动记日志、每次改完代码自动跑测试、封装一套"发布流程"——难道每次都去改那个核心循环吗？ 不。好的 harness 提供扩展点，让你不碰内核就能加料。这一章讲两类最常见的扩展：Hooks（拦截）和 Skills/命令（封装）。

---

一、先建立全局：Hooks 与 Skill 扩展加载机制 是什么？

理解“Hooks 与 Skill 扩展加载机制”，先要把标题中的对象放进同一条处理链：它接收什么输入，经过哪些状态变化，最终用什么证据判断结果。下表不另造概念，只把作者正文已经解释的章节按依赖顺序连起来。

“Hooks 与 Skill 扩展加载机制”的第一个核心判断是：容易改崩：核心循环是 Agent 的心跳，动一下满盘皆输。。先弄清这个判断中的对象和输入输出，后面的实现、故障和验收才有共同语境。

顺序	章节	读完本节应抓住的结论
1	为什么扩展机制很重要	容易改崩：核心循环是 Agent 的心跳，动一下满盘皆输。
2	Hooks：在循环的关键节点"拦一道"	Hook（钩子）是挂在循环关键节点上的回调函数。
3	Skills / 命令：把"一套打法"封装起来复用	Hook 是"在节点上拦"，
4	还有一种扩展：MCP（连接外部工具）	前面工具都是你自己写的函数，
5	常见误区	一个是主动调用的能力封装，一个是被动触发的节点拦截，用途不同别混用。
6	最佳实践	✅ 核心循环做薄做稳，可变能力做成可插拔的扩展（开闭原则）。

1.1 核心对象之间怎样衔接

flowchart LR
  S1["为什么扩展机制很重要"] --> S2
  S2["Hooks：在循环的关键节点'拦一道'"] --> S3
  S3["Skills / 命令：把'一套打法'封装起来复用"] --> S4
  S4["还有一种扩展：MCP（连接外部工具）"] --> S5
  S5["常见误区"]

这张图只表达本文的讲解顺序，不替代正文机制。判断“Hooks 与 Skill 扩展加载机制”是否真正掌握，需要能从最后一个结果沿图回到前面每个章节的输入、状态变化和证据。

1.2 再看失败：问题最早会出现在哪一步？

在“Hooks 与 Skill 扩展加载机制”的对象和顺序已经明确后，再看可观察的失败：条件缺失、结果不可复现或失败后责任不清。定位时不从最后一条错误猜原因，而是沿上图找第一个偏离正文结论的节点。

二、为什么扩展机制很重要

直接改核心循环来加功能，有几个大问题：

• 容易改崩：核心循环是 Agent 的心跳，动一下满盘皆输。
• 耦合死：每加个功能就塞进循环，循环越来越臃肿、没法维护。
• 不灵活：不同用户/项目想要不同功能，全塞内核就没法按需启用。

扩展机制的思路是：

把核心循环做"薄"、做稳定，把可变的能力做成"插件"挂上去。 内核只管驱动，扩展按需加载。

这跟软件工程里的"开闭原则"一个意思：**对扩展开放，对修改关闭。 ** 你用的 Claude Code 能配 hooks、能加自定义命令，靠的就是这套机制。

---

三、Hooks：在循环的关键节点"拦一道"

Hook（钩子）是挂在循环关键节点上的回调函数。 循环跑到某个节点时，会"回头"调用你注册的 hook，让你有机会观察、修改、甚至拦截。

回忆第 02 章的循环，关键节点有这些可以挂 hook：

用户输入 ──▶ [PreToolUse hook] ──▶ 执行工具 ──▶ [PostToolUse hook] ──▶ 喂回
                  ↑                              ↑
            工具执行前触发                    工具执行后触发
         （可审计/校验/拦截）              （可记日志/加工结果）

常见的 hook 时机和用途：

Hook 时机	能干什么
工具执行前（PreToolUse）	审计、参数校验、拦截危险操作（第 08 章的门卫其实就是一种 hook！）
工具执行后（PostToolUse）	记日志、统计、对结果做后处理
每轮结束	检查进度、注入提醒
会话开始/结束	加载配置、清理资源、归档日志

代码上，hook 机制朴素得很——就是在循环里留几个"回调点"：

然后在核心循环执行工具的前后，插一句 run_hooks(...) 即可。 **核心循环本身几乎不变，能力全靠注册进来的 hook。 **

💡 关键体会：第 08 章的"权限门卫"，本质就是一个注册在 pre_tool 时机的 hook。所以学到这里你会发现——很多功能都能统一成"挂个 hook"，这就是扩展机制的威力。

---

四、Skills / 命令：把"一套打法"封装起来复用

Hook 是"在节点上拦"， Skill（技能 / 自定义命令）则是另一个方向——**把一套常用的"打法/流程"打包成一个可一键调用的能力。 **

比如你每次发布都要走："跑测试 → 打 tag → 构建 → 推镜像 → 通知群"。 与其每次都跟 Agent 啰嗦一遍这五步， 不如封装成一个 /release 技能， 里面写好流程和注意事项。 以后一句 /release 就触发整套。

Skill 通常长这样（一段结构化的指令 + 可选的脚本/工具）：

---
name: release
description: 执行项目标准发布流程
---

当用户触发发布时，按顺序执行：
1. 跑全部测试，失败就停下报告
2. 给当前版本打 git tag
3. 构建产物
4. ……
注意：第 3 步失败必须回滚第 2 步的 tag。

它的价值：

• 复用：常用流程沉淀下来，不用每次重复描述。
• 一致：团队都用同一个 /release，流程标准化，少出错。
• 按需加载：用到才加载进上下文，不占平时的窗口（呼应第 06 章）。

Skill 和 Hook 的分工：Hook 是"被动拦截"（循环跑到那儿自动触发），Skill 是"主动调用"（用户/Agent 显式触发一套流程）。 一个管"过程管控"，一个管"能力封装"。

---

五、还有一种扩展：MCP（连接外部工具）

简单提一句更进阶的扩展——MCP（Model Context Protocol）。 前面工具都是你自己写的函数， 而 MCP 是一套标准协议， 让 harness 能即插即用地接上别人做好的工具服务（比如连数据库、连 GitHub、连某个 SaaS）。

你不用关心它的协议细节，记住这个定位即可：

MCP 之于工具，就像 USB 之于外设——一套标准接口，让 harness 能插上各种现成的外部能力，而不用为每个服务单独写适配代码。

它本质上还是给 Agent 加工具，只不过工具来自外部、通过标准协议接入。

---

六、常见误区

❌ **误区 1：加功能就改核心循环。 ** 循环要薄要稳。 能用 hook/skill 解决的，就别动内核。

❌ **误区 2：hook 里塞重逻辑、搞阻塞。 ** hook 在循环关键路径上，里面干又慢又重的活会拖垮整个 Agent。 hook 要轻、要快。

❌ **误区 3：Skill 和 Hook 混为一谈。 ** 一个是主动调用的能力封装，一个是被动触发的节点拦截，用途不同别混用。

❌ **误区 4：扩展太多太杂。 ** 一堆 hook 互相影响、难以排查。 扩展也要克制，保持可维护。

---

七、最佳实践

✅ 核心循环做薄做稳，可变能力做成可插拔的扩展（开闭原则）。 ✅ 拦截/审计/记日志类用 Hook，挂在合适的时机点，保持轻量快速。 ✅ 常用流程/打法用 Skill 封装，提升复用和一致性，按需加载省窗口。 ✅ 接外部现成能力用 MCP，享受"标准接口、即插即用"。 ✅ 扩展也要克制，别让一堆 hook/skill 变成新的维护负担。

---

八、动手实践：Hooks 与 Skills：不改内核给 Agent 加料

• Hook：注册一个"每次调用工具前后自动记日志"的钩子，挂在循环节点上被动触发。
• Skill：封装一个 /summary 技能，把"读文件 + 总结"这套打法打包成一键调用。

8.1 怎么跑

无需 API Key，直接跑：

python demo.py

输出会展示：

1. Agent 正常调用工具，但每次工具执行前后都被 hook 自动记了日志（带时间戳）
2. 触发 /summary skill，自动走完封装好的流程
3. 最后打印完整的工具调用日志——这些日志完全由 hook 产生，核心循环一行没改

8.2 看点

1. 核心循环没改：看 agent_loop 函数，它只在工具前后插了 run_hooks(...)，加日志能力完全来自外部注册的 hook。
2. 门卫也是 hook：对照第 08 章，权限确认其实就能注册成一个 pre_tool hook。
3. Hook 被动 vs Skill 主动：hook 是循环自动触发的，skill 是显式调用的——对照第 10 章的区分。
4. 试着再注册一个 hook（比如"统计工具调用次数"），体会"加功能不动内核"的爽感。

九、动手验证：先跑通 Hooks 与 Skill 扩展加载机制，再改变一个变量

前面的章节已经建立问题、概念和机制。现在把“Hooks 与 Skill 扩展加载机制”放进同一套基线中运行；本节不再引入新术语，只验证前文结论能否被复现。

9.1 基线与候选只允许一个变量不同

验证“Hooks 与 Skill 扩展加载机制”时，先固定样本、基线、候选、成功标准和失败边界。候选方案只能改变本次要验证的变量；如果同时更换数据、依赖和配置，即使结果改善，也不能知道是哪一项产生作用。

执行“Hooks 与 Skill 扩展加载机制”时，动作是：同环境运行基线与候选，记录输入、中间状态和异常。原始结果不能只保留截图或汇总分数，必须同步保存：可重放命令、结构化日志、输出 Diff、失败样本、版本，使下一次复查可以在同一输入上重放。

实验要素	本文要求
固定条件	固定样本、基线、候选、成功标准和失败边界
唯一变量	本次候选方案与基线之间的一项明确差异
原始证据	可重放命令、结构化日志、输出 Diff、失败样本、版本
通过阈值	结果符合结论条件，异常输入可解释、可恢复
立即停止	条件缺失、结果不可复现或失败后责任不清

9.2 执行前先排除不可比较条件

“Hooks 与 Skill 扩展加载机制”开始前先确认下面四项；任一项不成立，都应先修复实验条件，而不是解释结果。

• 基线能够在“Hooks 与 Skill 扩展加载机制”的当前环境重复运行。
• 候选只改变一个与“Hooks 与 Skill 扩展加载机制”结论直接相关的条件。
• “Hooks 与 Skill 扩展加载机制”的基线和候选使用同一批输入、同一版本依赖与同一通过阈值。
• “Hooks 与 Skill 扩展加载机制”的原始输出和失败现场不会被重试、格式化或汇总覆盖。

9.3 执行后先核对证据完整性

结果出来后先检查证据，再讨论“Hooks 与 Skill 扩展加载机制”是否通过。缺少中间状态时，最终输出只能说明现象，不能证明机制。

检查项	当前文章的判定
输入可追溯	固定样本、基线、候选、成功标准和失败边界
过程可回放	同环境运行基线与候选，记录输入、中间状态和异常
结果可审计	可重放命令、结构化日志、输出 Diff、失败样本、版本

“Hooks 与 Skill 扩展加载机制”的一次合格基线对照按以下顺序执行：

1. 保存“Hooks 与 Skill 扩展加载机制”基线版本及输入摘要，确认基线本身可以重复运行。
2. 写下“Hooks 与 Skill 扩展加载机制”候选方案唯一变化的变量，以及它预期影响的指标。
3. 在同一环境执行“Hooks 与 Skill 扩展加载机制”：同环境运行基线与候选，记录输入、中间状态和异常。
4. 为“Hooks 与 Skill 扩展加载机制”保存：可重放命令、结构化日志、输出 Diff、失败样本、版本。
5. 使用“Hooks 与 Skill 扩展加载机制”预登记条件判断：结果符合结论条件，异常输入可解释、可恢复。
6. 如果“Hooks 与 Skill 扩展加载机制”未通过，不修改第二个变量，先恢复基线并保留失败现场。

十、用一张矩阵验证 Hooks 与 Skill 扩展加载机制 的关键结论

矩阵按正文顺序列出“Hooks 与 Skill 扩展加载机制”的结论。一次实验只选择一行，只改变这一行对应的条件；不要把多行合并成一个无法归因的大实验。

正文章节	已解释的结论	本轮唯一变量	必须保存的证据
为什么扩展机制很重要	容易改崩：核心循环是 Agent 的心跳，动一下满盘皆输。	只改变与“为什么扩展机制很重要”相关的条件	可重放命令、结构化日志、输出 Diff、失败样本、版本
Hooks：在循环的关键节点"拦一道"	Hook（钩子）是挂在循环关键节点上的回调函数。	只改变与“Hooks：在循环的关键节点"拦一道"”相关的条件	可重放命令、结构化日志、输出 Diff、失败样本、版本
Skills / 命令：把"一套打法"封装起来复用	Hook 是"在节点上拦"，	只改变与“Skills / 命令：把"一套打法"封装起来复用”相关的条件	可重放命令、结构化日志、输出 Diff、失败样本、版本
还有一种扩展：MCP（连接外部工具）	前面工具都是你自己写的函数，	只改变与“还有一种扩展：MCP（连接外部工具）”相关的条件	可重放命令、结构化日志、输出 Diff、失败样本、版本
常见误区	一个是主动调用的能力封装，一个是被动触发的节点拦截，用途不同别混用。	只改变与“常见误区”相关的条件	可重放命令、结构化日志、输出 Diff、失败样本、版本
最佳实践	✅ 核心循环做薄做稳，可变能力做成可插拔的扩展（开闭原则）。	只改变与“最佳实践”相关的条件	可重放命令、结构化日志、输出 Diff、失败样本、版本

10.1 记录本次实际实验

下面的记录用于“Hooks 与 Skill 扩展加载机制”当前这一次实验，不是第二套知识目录。先从矩阵选择一个章节，再填写实际值；没有填写的字段表示尚未验证。

topic: "Hooks 与 Skill 扩展加载机制"
selected_chapter: required
claim_from_article: required
baseline_version: required
changed_condition: exactly_one
execution: "同环境运行基线与候选，记录输入、中间状态和异常"
evidence: "可重放命令、结构化日志、输出 Diff、失败样本、版本"
pass_when: "结果符合结论条件，异常输入可解释、可恢复"
stop_when: "条件缺失、结果不可复现或失败后责任不清"
observed_result: required
first_deviation: null_or_evidence
recovery_replay: required_after_failure

10.2 边界实验必须证明能够停止和恢复

成功路径只能证明“Hooks 与 Skill 扩展加载机制”在当前样本上工作，不能证明它可以进入生产。边界实验需要主动制造：条件缺失、结果不可复现或失败后责任不清，并观察系统是否在产生不可逆副作用前停止。

场景	只改变什么	应保存什么	通过标准
正常路径	使用已知有效输入	可重放命令、结构化日志、输出 Diff、失败样本、版本	结果符合结论条件，异常输入可解释、可恢复
边界路径	把一个输入推进到约束临界值	临界值前后的输出与指标	不静默降级，不把部分结果冒充成功
明确失败	注入：条件缺失、结果不可复现或失败后责任不清	原始错误、首个异常阶段和最终状态	失败被正确分类且没有扩大副作用
恢复重放	执行：保留基线，缩小变量；根因确认前不扩大范围	原失败样本的复测证据	原样本恢复，正常样本没有回归

恢复动作不是简单重启。对于“Hooks 与 Skill 扩展加载机制”，第一步是：保留基线，缩小变量；根因确认前不扩大范围。完成后使用原始失败样本复测；只验证一个新样本成功，不能证明触发条件已经消失。

“Hooks 与 Skill 扩展加载机制”边界实验结束后，应把正常、临界、失败和恢复四类记录放在同一个运行批次中。这样才能区分“候选方案真的修复问题”和“环境变化让问题暂时没有出现”。

十一、Hooks 与 Skill 扩展加载机制 的结果解释

解释“Hooks 与 Skill 扩展加载机制”实验时先看首个偏差，而不是最后一条错误。最后的异常通常只是上游状态错误的结果；从末端反推容易误把症状当根因。

观察结果	可以支持的判断	下一步
主链路没有达到预期	条件缺失、结果不可复现或失败后责任不清	先执行：保留基线，缩小变量；根因确认前不扩大范围
异常链路无法恢复	条件缺失、结果不可复现或失败后责任不清	先执行：保留基线，缩小变量；根因确认前不扩大范围
新样本成功但原样本仍失败	修复没有覆盖原始触发条件	固定原失败输入，恢复基线后重新比较
指标改善但证据无法回链	数据、版本或中间状态没有固定	暂停发布，补齐可追溯记录后重跑

“Hooks 与 Skill 扩展加载机制”只有同时满足“结果符合结论条件，异常输入可解释、可恢复”，并且没有出现“条件缺失、结果不可复现或失败后责任不清”，才可以认为主链路通过。这里的“通过”只对当前固定版本、样本和环境有效，不能外推到尚未测试的容量、权限或数据分布。

如果“Hooks 与 Skill 扩展加载机制”候选方案与基线差异很小，先检查证据分辨率是否足够；如果差异很大，先排除数据泄漏、环境漂移和版本不一致。两种情况都不能只看一个汇总均值，需要回到逐样本输出和中间状态。

“Hooks 与 Skill 扩展加载机制”故障定位完成后，记录“现象、首个偏差、根因、改动、原样本复测”五项。缺少原样本复测时，只能标记为待观察，不能标记为已解决。

十二、Hooks 与 Skill 扩展加载机制 的发布判断

发布判断需要把“Hooks 与 Skill 扩展加载机制”的质量、失败边界和恢复能力放在同一份记录中。以下任一条件缺失，都应停止扩量，而不是用“基本正常”替代证据。

• “Hooks 与 Skill 扩展加载机制”的基线与候选只存在一个计划内变量。
• “Hooks 与 Skill 扩展加载机制”的输入、代码、依赖、配置和数据版本可以追溯。
• “Hooks 与 Skill 扩展加载机制”的正常、临界、失败和恢复样本使用同一套断言。
• “Hooks 与 Skill 扩展加载机制”的原始输出、中间状态和失败现场已经保留。
• “Hooks 与 Skill 扩展加载机制”的日志、Trace、截图和测试数据已经脱敏。
• “Hooks 与 Skill 扩展加载机制”的停止条件、负责人和回滚入口已经演练。
• “Hooks 与 Skill 扩展加载机制”尚未覆盖的输入、权限、容量和外部依赖已经登记。

最终记录至少包含基线版本、唯一变量、原始证据、首个偏差、恢复复测和发布责任人。没有参与本次修改的人如果不能据此重放“Hooks 与 Skill 扩展加载机制”的判断，就不能发布。

十三、总结

• 为什么扩展机制很重要：容易改崩：核心循环是 Agent 的心跳，动一下满盘皆输。
• Hooks：在循环的关键节点"拦一道"：Hook（钩子）是挂在循环关键节点上的回调函数。
• Skills / 命令：把"一套打法"封装起来复用：Hook 是"在节点上拦"，Skill（技能 / 自定义命令）则是另一个方向——把一套常用的"打法/流程"打包成一个可一键调用的能力。
• 还有一种扩展：MCP（连接外部工具）：前面工具都是你自己写的函数，而 MCP 是一套标准协议，让 harness 能即插即用地接上别人做好的工具服务（比如连数据库、连 GitHub、连某个 SaaS）。
• 常见误区：一个是主动调用的能力封装，一个是被动触发的节点拦截，用途不同别混用。
• 最佳实践：✅ 核心循环做薄做稳，可变能力做成可插拔的扩展（开闭原则）。