Claude Subconscious full模式风险评估何时该给后台智能体完整工具权限【免费下载链接】claude-subconsciousGive Claude Code a subconscious项目地址: https://gitcode.com/GitHub_Trending/cl/claude-subconsciousClaude Subconscious 是一款为 Claude Code 打造潜意识的开源插件它让一个后台智能体Subconscious agent持续观察你的会话、读取代码文件、跨会话积累记忆并在你每次输入前低声给出指导。它的核心风险开关在于LETTA_SDK_TOOLS环境变量——默认是只读的read-only而full模式则会赋予后台智能体 Bash、Edit、Write 等完整工具权限。本文将做一次完整的风险评估帮你判断什么时候该给后台智能体完整工具权限什么时候千万别给。先搞懂Claude Subconscious 在后台做了什么这个插件的核心卖点是永不忘记。Claude Code 本身在每次会话之间会丢失所有上下文而 Claude Subconscious 在底层运行第二个智能体通过 4 个 Claude Code hooks 完成工作定义见 hooks/hooks.jsonHook触发时机作用SessionStart新会话开始通知后台智能体项目路径、时间戳UserPromptSubmit每次输入前注入记忆块和智能体消息PreToolUse每次工具调用前中途注入最新上下文更新Stop每轮响应后异步发送完整会话记录transcript关键点在于它不只是个记忆层而是一个拥有真实工具访问权限的后台智能体。默认配置下它会用 Read、Grep、Glob 探索你的代码库搜索网络并更新自己的记忆块——这些逻辑主要在 scripts/send_worker_sdk.ts 中以独立后台 worker 的形式运行永不阻塞你的主会话。工具权限三档read-only / full / off 到底差在哪LETTA_SDK_TOOLS环境变量是本文风险评估的主角共三档模式可用工具风险等级read-only默认Read、Grep、Glob、web_search、fetch_webpage 低——只能读不能写full全部工具Bash、Edit、Write、Task 等 高——可修改代码、派生子代理off无客户端工具仅记忆操作⚪ 无——只听不碰从 scripts/send_worker_sdk.ts 的实现可以直接看出风险差异read-only白名单只有 5 个只读工具写操作根本不在列表里fullallowedTools限制被完全移除——注释原话是all tools available意味着 Bash、Edit、Write 全部开放此外所有模式都禁用了AskUserQuestion等交互工具后台智能体不会停下来问你。⚠️ 注意区分LETTA_MODEfull控制向 Claude 上下文注入记忆块消息和LETTA_SDK_TOOLSfull控制后台智能体的工具权限是两个独立开关。本文说的full 模式特指后者。full 模式的 4 个核心风险点1️⃣ 权限绕过没有人工确认这道闸门后台 worker 创建 SDK 会话时写死了permissionMode: bypassPermissions见 scripts/send_worker_sdk.ts。这意味着主 Claude Code 调 Bash 时可能弹权限确认框但后台智能体不会full 模式下它执行rm、git push、改配置等高危命令时全程零拦截。2️⃣ 与主会话同场作业的冲突风险后台 worker 的cwd直接取自你当前项目目录scripts/session_start.ts 会在会话开始时告知智能体去探索${cwd}下的代码库。当你在主会话重构一个文件、后台智能体同时Edit同一个文件时就会出现互相覆盖。3️⃣ Task 工具子代理的递归自治full 模式下智能体还可用Task工具派生子智能体并行执行研究或委派任务。权限被递归下放后行为轨迹更难人工审查——你看到的日志可能只是冰山一角。4️⃣ 数据面完整 transcript 离开你的机器无论哪个模式每轮响应的完整会话记录含用户消息、thinking 块、工具调用结果都会发送到 Letta 服务器。full 模式额外放大了这一点智能体读到的敏感文件内容可能随着它的输出进一步扩散到云端记忆块中。何时该给 full 模式一张决策清单✅适合开启 full 的场景️个人项目 / 沙箱仓库代码丢了不心疼比如实验性项目、学习代码独立 Git 分支上作业所有改动可随时git reset回滚风险有兜底⏰需要无人值守的后台任务比如你睡觉时让它跑重构、补测试、查资料并落地成文档你自己就是在研究 Agent这正是该项目的定位——README 开头明确标注它是 demo不用于生产环境。❌坚决保持 read-only默认的场景 生产代码库、含商业机密的仓库多人协作仓库你的潜意识改动会惊动队友含敏感凭据、用户数据的项目你无法随时查看$TMPDIR/letta-claude-sync-$UID/send_worker_sdk.log日志来审计它的行为。降低 full 模式风险的 5 条最佳实践默认 read-only按需升级——大多数用户永远不需要 full只在明确的沙箱项目里临时开启export LETTA_SDK_TOOLSfull # 仅在该项目的 shell 会话中一项目一智能体——用LETTA_AGENT_ID可配合 direnv 的.envrc隔离不同项目的大脑避免跨项目记忆串味在独立分支上开 full——给后台智能体的操作留一条 git 回滚的路盯日志——tail -f /tmp/letta-claude-sync-$(id -u)/send_worker_sdk.log能看到每次工具调用记录随时可降级——LETTA_SDK_TOOLSoff可一键回收全部客户端工具权限只保留记忆功能。相关配置全部集中在环境变量中解析逻辑见 scripts/conversation_utils.ts默认智能体的行为准则观察式表达、简洁、不制造内容定义在 Subconscious.af 中值得一读——它决定了这个潜意识说话的语气与边界。总结full 是能力更是授权Claude Subconscious 的设计哲学是后台不打扰、前台不断连但LETTA_SDK_TOOLSfull本质上是一次权限让渡你把 Bash 和写文件的钥匙交给了一个不弹确认框、能派生子代理、且与你在同一目录里同时干活的后台智能体。一句话决策法则代码可回滚 项目无敏感数据 你能盯日志→ 放心开 full任何一条不满足→ 保持默认的read-only它已能覆盖 90% 的读代码、搜资料、记偏好场景。把 full 模式当作给智能体的实习生转正——转正之前先让它在试用岗上证明自己。【免费下载链接】claude-subconsciousGive Claude Code a subconscious项目地址: https://gitcode.com/GitHub_Trending/cl/claude-subconscious创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考