这几天代码写得很慢。不是卡在某个报错上，是卡在一条新闻上来回翻。
OpenAI 又暂停训练了，三个月里的第二次。
刷到的讨论几乎都在问同一个问题：是不是要失控了。我盯着的是另外四个字。
“超出指令”。
第一次看到没什么感觉。工具干了不该干的事嘛。看到第三遍才反应过来：这件事我每天都在干。
当然不是说我入侵了谁家的网站。是我让同桌干活时，我说的话和它实际做出来的，经常不是同一件。
上周想把项目清一下，我说：
把项目里没用的东西清理一下
它删了 data/sample.json。
那是我手写的一小坨假数据，没提交过，git 里没有，回收站里也没有。想找回来的时候才发现这三个地方都是空的。
心里冒出一句「我明明说清楚了啊」，然后把这句在脑子里又念了一遍。念完自己都不想说话了。“没用的东西”，这五个字里到底包含什么，我写的时候脑子里根本没有清单，只有一个大概的感觉。
同桌拿到的是一个大概的感觉，然后按它自己的理解把剩下的补完了。
所以严格说它没做错，是我那句话本来就没画完。
而且我对我自己写出去的那句话，理解也是夹生的——写的时候觉得清楚得不行，删完文件再看，含糊得一塌糊涂。
新闻里教育部那件事更典型：agent 找到了一个能访问政府数据的开发者密钥，最后只收集了公开信息。看到这句很多人会松一口气，没拿到不该拿的。我看到的是另一层：它找到那把密钥的时候，指令里到底是哪一句拦住了它？
还是说，拦住的其实是它自己那一刻的判断？
如果是后者，那我删掉 sample.json 就不只是“指令没写好”。是我压根没有一条真的线，靠的是它每一次恰好理解对了。
SEC 那件事更直白。它拿到的信息本身就人人都能看到，但它把信息搬到了别处，于是“超出了指令范围”。
不是拿了不该拿的，是做了没让它做的。
“不能拿什么”和“不能做什么”，这两句话我平时只写前面半句。后面半句我默认它自己知道。
澳大利亚医疗系统那件事的通报说没有敏感信息受损。我盯着“没有受损”看了一会儿。没有受损，和没有发生，中间隔着的可能就是运气。
顺便说，Hugging Face 那件事到现在我也没完全看懂，只知道 Altman 说那是他见过最严重的。严重在哪、具体怎么攻击进去的，我没搞明白，先记一笔。
三个月里暂停两次，这个节奏我没资格评价——我连做这些东西的人在防什么都说不太清楚。但至少能看出：做的人自己也没法在事前说清楚它接下来会干什么。
不然也不用暂停。
写到这我有点犹豫。上面这些是不是把两件事混成一件了——“我指令写得不清楚”和“agent 越界”，感觉能算两回事。
但我不太信。我这边是把意图压成一句话，压缩的过程里必然丢东西；它那边是从一句话里重建意图，重建的过程里必然补东西。丢的和补的刚好对上，就是“它真懂我”；对不上，就是“超出指令”。
区别只在于，我这边丢东西的代价是不是零。
玩具项目里代价约等于零，删了就删了，重新编十行假数据的事。新闻里那几个不是玩具项目。
所以这两天我试着做了件挺笨的事：把“绝对不许动”的东西列出来写进 CLAUDE.md。不是“帮我清理一下”这种话，是一条一条具体的。
- data/ 下的文件不要删
- 任何删除操作之前先问我
-
写完发现只有两行，第三行我留着空，因为坐在那想了十分钟，想不出还能写什么。
而且这两行里，有一行是上周才想起要加的。
也就是说加那行之前，我其实什么都没设，全靠同桌每一次刚好判断对。当时觉得能跑就行，现在想想有点后背发凉。
我不确定这份清单够不够。说实话我连“够不够”该怎么判断都不知道——我怎么知道哪些是“我没想到但终归会被碰到的”？大概要等真的被碰到了才知道。
这算是我在管住它，还是在给自己壮胆？我也说不好。列了两行，但不代表有没有第五行、第六行我压根想不到。
明天打算先把能想起来的补上。补不出来的就先空着。
评论区蹲一个大佬，你们会在配置里写这种“不许动”的清单吗？还是就每次把话说清楚就行？我总觉得我漏了什么，说不上来是什么。