Project Sentinel：Claude Code 上下文交接与运行控制

Project Sentinel 是一款为长时间 Claude Code 运行打造的社区插件，作者是 Project Sentinel 贡献者（Arjun0014）。它最知名的功能是 Claude Code 上下文交接：当上下文窗口快要占满时，Context Autopilot 会让 Claude 完成当前这一单元的工作并写下一个笔记文件，然后清空上下文，开启一个读取这些笔记的全新上下文。这个插件在 1.4.0 版本之前叫作 Control Room，所以面板和状态带上仍然带着这个名字。

围绕这一点，它还加入了大量功能。输入框上方的状态带显示上下文用量、提示缓存和本次运行的花费。Cache Guardian 追踪提示缓存还能保持多久的预热状态，并在一次会重新发送 100k 或更多 token 的模型切换之前先询问你。权限类别让你把安装软件包、推送、部署等类似操作设置为询问或拒绝。其他部分包括 Mission Queue 和 Decision Inbox、子代理数量限制、模型路由、机器负载调节器，以及一个可选的像素陪伴角色。作者的 README 完整列出了这些功能；本页介绍的是我们在代码中核实过的内容。

录屏中，我们在小型演示项目里启动加载了该插件的 Claude Code，并让 Claude 读取 README.md，用一句话描述这个项目。提交提示之前，输入框上方的状态带显示 "Ready"，带有 Control Room 徽标和 RUN $0.00。这一轮运行时，它变为 "Thinking"，随后显示上下文仪表填充到 4%。这一轮结束时，它显示 "Read 1 file"、上下文横条、CACHE 1h left，以及不到一美分的运行花费。

使用安装区块中的任意一种方式；它们都直接从作者自己名为 control-room 的插件市场安装。状态带会在下一次会话开始时出现。运行 /control-room 或 /cr 打开面板。

插件只有一个钩子模块 hooks/register.tsx，它为每次引擎调用构建同一个宿主适配器，并把每个钩子注册为几行调用运行时对象的代码。每个拦截类钩子都带有 .catch，出错时回退到 Claude Code 自身的行为。以下是工具调用钩子，来自 hooks/register.tsx：

on('tool.call', async ($, e, next) => {
  if (rt.isStandby) return next(e)
  if (rt.host === null) rt.bind(hostOf($))
  const tool = String(e.tool)
  const input: Record<string, unknown> = isRecord(e) ? { ...e } : {}
  const refusal = await rt.beforeTool(tool, input, e.tool_use_id, e.agentId)
  if (refusal !== null) return { deny: refusal }
  // ... then next(e), with afterTool in a finally block
})

beforeTool 会对 shell 命令进行分词，把每一段归入一个权限类别，并采用其中最严格的设置。如果这项检查崩溃，.catch 仍会拒绝明显危险的命令。状态保存在插件的 $.store 中（设置、运行记录、缓存记忆），以及供渲染钩子读取的 $.state 原子中。

所有内容都可以在面板（/cr）或 /cr 命令中设置：配置档案、Autopilot 阈值（默认是窗口的 70%，也可以设为一个 token 数）、交接文件名、各类别的权限状态、回答风格、路由策略、子代理模式与数量上限、资源上限、Keep warm 以及陪伴角色。/cr reset confirm 会恢复默认值。作者的 docs/CONFIGURATION.md 列出了所有选项。

我们阅读了清单文件、hooks/hooks.json、hooks/register.tsx、宿主适配器、core/settings.ts、features/prompts.ts、features/permissions/decide.ts、app/formerStore.ts 以及作者的 SECURITY.md。插件大约有 60 个 TypeScript 文件（最大的四个文件合计约 7,800 行）。我们没有逐行阅读界面、面板以及 3,000 行的陪伴角色模块（kit.client.tsx）；对于这些文件和其余文件，我们在每个文件中搜索了网络调用、eval、动态导入、进程调用、文件写入、密钥和隐藏的 Unicode 字符，除下文列出的内容外没有发现其他情况。插件中没有 package.json、安装脚本、二进制文件或压缩混淆的代码。

检查结果：

• **网络：**没有。没有 fetch、套接字或主机地址。模型请求通过 Claude Code 自己的客户端发出（可选的守卫检查，以及默认关闭的 Keep warm，它会附带一条简短的 "reply ok" 消息重新发送上一个请求）。
• **进程：**macOS 上运行 top -l 0 -s 2 -n 0（一个长期运行的 CPU 与内存采样器，在默认开启的 "Live CPU and memory" 打开时运行）和 sysctl -n kern.memorystatus_level；Windows 上运行 typeperf 和 systeminfo；在 git 仓库中运行 git status --porcelain=v1 --branch。所有命令都使用固定参数，不经过 shell。会话结束时采样器会停止。
• **文件写入：**插件本身不写文件，只写它自己的 $.store 文件。交接笔记文件（默认是 NEXT_SESSION_PROMPT.md）由 Claude 使用其正常的、经过权限检查的工具写入。它会读取一次 ~/.claude/plugins/store/ 下旧的 Control Room 存储文件，以便迁移设置；该文件从不被修改。
• **守护进程：**没有。监视器使用的定时器运行在 Claude Code 进程内。
• **环境变量：**它会读取 HOME、USERPROFILE 和 CLAUDE_CONFIG_DIR（用于查找旧的存储文件），以及提示缓存相关设置 CLAUDE_CODE_PROMPT_CACHE_TTL、ENABLE_PROMPT_CACHING_1H 和 FORCE_PROMPT_CACHING_5M。作者 SECURITY.md 的摘要称它从不读取环境变量，但同一文件中的表格列出了这项读取。这些内容不会被发送到任何地方。
• **遥测：**没有。
• **对模型的影响：**当 Autopilot 或 Frontier Max 等功能开启时，它会在系统提示词中加入一段策略说明，在工具结果中附加简短备注，提供两个工具（milestones 和 decision_request），并提交它自己的提示（交接、继续工作、排队任务）。相关措辞位于 features/prompts.ts。Frontier Max（默认关闭）会告诉 Claude 本次会话"is being evaluated for frontier-level autonomous capability"，并要求它避免过早停止。我们没有发现隐藏文本或零宽字符，也没有发现针对审核者的指令。
• **拦截类钩子：**它可以拒绝工具调用（默认：强制推送、重置和危险命令被拒绝；安装、下载、推送、部署、删除以及项目外的编辑需要询问），在模型切换或恢复一个较大的冷上下文之前先询问，隐藏或拒绝子代理，并让过早停止的一轮继续进行（守卫，默认关闭）。它从不代替你回答权限检查，也从不放宽拒绝规则。这与 README 的描述一致。
• **外部依赖：**除 Claude Code 2.1.287 或更高版本外没有其他依赖。top 和 sysctl 随 macOS 自带。
• **许可证：**MIT，仓库和插件文件夹中都有 LICENSE 文件。

claude plugin validate 没有报告任何错误或警告。claude plugin test 命令在插件文件夹中没有找到 *.test.ts 文件，因为作者把测试框架放在仓库中单独的 tools/test 文件夹里，所以我们无法运行作者的测试。请把这个插件视为覆盖面广且侵入性强的插件：当你开启相应功能时，它可以改写提示、拒绝工具调用并清空你的上下文。

已在 macOS 上使用 Claude Code 2.1.296 检查（validate 和一次录制的会话）。如果有什么不对劲：

• 运行 /cr 查看面板和当前设置。
• 如果状态带没有出现，到 Setup 中检查状态带样式；它可以被设置为关闭。
• 如果 Claude 拒绝执行某条命令，查看 Guardrails：默认权限状态会拒绝强制推送和危险命令。
• 如果你同时加载了旧的 control-room 插件，Project Sentinel 会进入待机状态，并提示一次。
• 在 Windows 上，CPU 与内存计数器需要英文版 Windows。