深度驾驭 Anthropic Agent SDK 钩子：通过 pretooluse 与 posttooluse 构建安全闭环

Mon, 14 Sep 2026 03:00:00 +0000

前几周，我在测试一个处于私有代码库环境的自主 Agent 时，差点遭遇灭顶之灾：该 Agent 试图删掉整个 PostgreSQL 数据库的表结构。起因是由于一个恶意用户在 GitHub Issue 的 Mock Bug 报告里埋了提示词注入（Prompt Injection）攻击。Agent 在解析该 Issue 时被大模型脑补诱导，认为必须“通过清理 Schema 冲突来解决 Bug”，进而尝试执行一条删除表结构的裸 SQL 语句。

这笔惊出冷汗的教训再次证明了一个血淋淋的现实：给 AI Agent 毫无约束地开放外部工具权限，等同于让一个未经授权的用户在你的服务器上执行任意命令。

依靠系统提示词（System Prompt）无法彻底解决这个问题。在开发提示词里叮嘱 Claude“请不要运行具有破坏性的命令”，就像是用纸箱给银行做防盗门。一旦黑客使用高阶注入技巧，提示词防线会在瞬间溃散。如果想在生产环境中安稳地运行 AI Agent，必须建立代码级的强控制底座。

在 Anthropic 的开发者生态中，这道牢不可破的底层代码边界是通过官方 Agent SDK 的生命周期钩子（Lifecycle Hooks）来构建的：pretooluse、posttooluse、onstart 和 onfini。深度掌控这套拦截钩子，是将“脆弱的玩具级 Agent”蜕变为“生产级受控 Agent”的唯一分水岭。

剖析 Anthropic Agent 调用的完整生命周期

在动笔写钩子代码之前，必须先厘清 SDK 是在哪个阶段进行拦截的。一个合格的 Agent 运行并不是简单的单次 API 请求与响应，而是一个迭代的、回合制（Turn-based）的控制环。Claude 决定调用某个工具，SDK 去运行该工具，然后将结果反馈给 Claude。

Agent Hooks on Bruce AI 工程笔记

深度驾驭 Anthropic Agent SDK 钩子：通过 pretooluse 与 posttooluse 构建安全闭环

剖析 Anthropic Agent 调用的完整生命周期