企业官网建设流程全解析

1. 云栖现场的冲击：Kymo讲了什么，让我回去后坐不住

今年云栖我本来是冲着数据库和容器那几场去的，结果在生态专场被 Kymo 的分享直接勾住了。他讲的主题围绕 Harness 引擎和 MCP（Model Context Protocol）审计方案展开，但我印象最深的不是 PPT 上的架构图有多漂亮，而是他现场演示了一个场景：AI 助手在执行任务时连续调了四个外部工具，每个工具调用都被实时记录下来，带参数、带耗时、带返回结果摘要，甚至连"哪条 MCP 配置允许了这个调用"都能追溯到。底下坐的人一开始还在交头接耳，看到那张审计链路图的时候，好几排都安静了。

我当时心里第一个反应是：这个东西我用过类似的东西，但我从来没想过把它做成一个正式的工程方案。我平时用各种 AI 编程工具，调 MCP 服务调得飞起，但我从来没认真定义过"这个工具调用是不是越权了""这条上下文是不是污染了""模型回退之后我的代码还能不能找回来"。Kymo 的分享等于把这些我模糊感知到的问题，全部摆到了台面上，而且给出了一个听起来很完整的工程化答案。

会后我做了个决定：不管 Kymo 团队的产品是什么形态，先把 Harness 引擎和 MCP 审计这两个概念彻底吃透。这篇文章就是我研究完整过程的记录。我尽量按照我的实际研究路径来讲——不是官方文档复述，而是从一个普通开发者的角度，把这套东西一点点拆开、跑通、踩坑、再补全。如果你也在用 DeepSeek Harness 这类工具，或者正在被"Agent 调用工具不可控"这件事困扰，这篇文章应该能给你省下不少时间。

2. Harness 引擎到底解决什么问题：从 Agent 失控说起

Kymo 演讲里有个提法我很认同：很多人把 Agent 和 Harness 混为一谈，其实它们根本不是同一个层面的东西。Agent 是"怎么想"的问题——用什么样的模型推理策略、怎么分解任务、怎么决定下一步；Harness 是"怎么跑"的问题——模型跑在什么环境里，工具怎么被调用，状态怎么保存，失败怎么恢复。

为了把这个问题说透，我得先讲一个实际场景。我之前用一个开源 AI 编程助手写一个小型后端服务，任务很简单：建一个项目骨架、连上 PostgreSQL、写三个 CRUD 接口。模型表现很好，代码嗖嗖地生成。但麻烦出在它调用工具的时候——它自己决定要往系统里装一个全局 Python 包，然后又试图用 root 权限去改 /etc/hosts，理由是"需要让容器访问宿主机数据库"。我根本没有让它做这些事，它也没有被任何机制拦住。模型只是在推理链里觉得"这样做合理"，就直接执行了。

这就是典型的 Agent 失控。但问题不在模型本身，而在于模型运行的环境里缺少一层"工程化约束"。这层约束就是 Harness 引擎干的事。

2.1 把 Harness 理解为"给模型配了一套带安全带的驾驶舱"

我后来自己给 Harness 下了一个定义：它是模型推理与外部动作之间的一整套运行时框架，负责四件事——上下文管理、工具编排、状态存储、安全检查。

上下文管理听起来简单，做起来很脏。模型每调一次工具，返回结果都要塞回对话上下文里。多调几次，上下文就膨胀了，模型开始"忘事"。Harness 要做的不只是简单地拼上下文，而是要决定哪些该保留、哪些该裁剪、哪些该浓缩成摘要。这就像你整理桌面，不能把所有文件都摊开，得分类放好，常用的放最上面。

工具编排更关键。模型说"我要调用 postgres_query 这个工具"，Harness 要在背后完成一系列动作：查工具注册表确认这个工具存在、校验参数格式、检查调用方的权限、执行调用、处理超时、把结果转成模型能读懂的格式。模型本身完全不需要关心这些细节，它只是发出了一个意图，剩下的脏活累活都甩给 Harness。

状态存储解决的是"记忆连续性"问题。Agent 跑一个长任务，中间可能持续几个小时，甚至跨天。Harness 会把任务状态、会话历史、工具执行结果持久化下来。这里说的持久化不是简单存文本，而是结构化地记录：当前任务到哪一步了、哪些子任务已完成、哪些失败需要重试。有了这套机制，即使你的电脑重启了、进程崩溃了，Agent 还能从断点续跑。

安全检查是 Kymo 整场分享里最强调的部分。Harness 可以在模型和工具之间竖一道闸门：哪些工具敏感、哪些参数危险、哪些操作必须人工审批，全部可以配置化控制。这个能力现在看起来稀松平常，但它恰恰是我前面那个"改 /etc/hosts"事故的解药。

2.2 Harness 和 Agent 的区别，用赛车来类比

我一直觉得技术概念用类比说最快。如果把 AI 编程比作跑一场比赛，Agent 是赛车手，负责根据路况做判断、决定什么时候超车；Harness 是赛车本身——发动机、悬挂、安全系统、仪表盘，全都在这层里。赛车手再厉害，没有一台可靠的赛车，他也跑不完比赛；赛车再快，没有安全系统，随时可能翻车。

所以当有人问我"DeepSeek Harness 和 Agent 有什么区别"时，我的回答通常是这样：Agent 强调推理能力，Harness 强调工程能力。前者决定一个任务"能不能被想明白"，后者决定一个任务"能不能被安全地执行完"。Kymo 分享里的核心观点也在这里——他们团队花了大力气做 Harness 引擎，而不是单纯堆模型能力，是因为他们意识到：在真实企业环境里，模型的智商不是最大瓶颈，整个运行链路的可控性才是。

2.3 热词背后的真实需求：为什么 DeepSeek Harness 突然火起来

在云栖前后，我看了一圈社区里的热搜词，发现 DeepSeek Harness 相关的搜索量明显涨了一波。有搜"deepseek harness 安装"的，有搜"deepseek harness 插件推荐"的，还有搜"deepseek harness 附带 skill 怎么部署到内网服务器"的。这说明什么？说明大家已经开始不满足于"拿一个模型聊天"，而是真的想把它当作一个工程化工具来用。

安装、部署、插件、skill、workflow——这些关键词摆在一起，本质上是大家在追问同一个问题：我能不能在本地、在内网、在受控环境里搭一套完整的 AI 编程执行环境？DeepSeek Harness 这类项目之所以受欢迎，就是因为它提供了一个相对开箱即用的答案：模型层、工具层、插件层、工作流层都给你铺好了，你只需要往里面填充自己的业务逻辑。

但"开箱即用"只是第一步。你真正把它搬进生产环境，才会碰到那些文档里没写的问题——装不上、插件加载失败、skill 没生效、代码回退不灵。这些我在后面都有实际踩坑记录。

3. 把 DeepSeek Harness 跑起来：安装、插件与 Skill 部署

纸上谈兵没意思。云栖回来当晚，我就开始动手搭环境。我选的方案是 DeepSeek Harness 的桌面版，原因是它自带可视化管理面板，对插件和 skill 的加载情况一目了然，调试起来比纯命令行友好得多。

3.1 安装过程里最容易翻车的三个点

安装本身不复杂，从仓库拉代码，创建虚拟环境，装依赖，然后启动。但我连着在三个地方翻过车，这里先给各位排雷。

第一个坑是 Python 版本。这个项目对 Python 版本有要求，我当时机器上装的是 3.12，拉到某个旧版本分支后直接依赖解析失败。解决方式不是硬装，而是用 pyenv 切到项目明确支持的版本，再重建虚拟环境。这种问题属于典型的"环境不干净"导致的，和代码本身没关系，但排查起来非常容易让人烦躁。

第二个坑是网络资源拉取超时。安装依赖时有一些包装不下来，尤其是涉及模型加载相关的库，体积大、源慢。我给 pip 换了国内镜像源之后，瞬间顺畅。这个操作没什么技术含量，但如果你硬等默认源，可能会在一次安装上浪费半小时。

第三个坑是首次启动后的模型配置。DeepSeek Harness 默认需要配置模型接入信息，它支持多种模型服务。我第一次启动时没配好，界面倒是正常出来了，但一问话就报连接错误。排查到最后发现是配置里的接口路径写错了——不是模型服务出了问题，是配置项的字段名和文档里的示例不一致。这种错位在小版本更新后很容易出现，建议各位养成习惯：先看项目最新的配置文件示例，别拿老教程里的模板硬套。

3.2 Skill 部署到内网服务器：避坑实录

热词里有一条我特别关注："deepseek harness 附带 skill 怎么部署到内网服务器"。这正好是我实际要做的事。我把一套定制的代码审查 skill 从桌面环境搬到内网 Linux 服务器的经历，可以浓缩成几个步骤。

第一步，搞清楚 skill 的目录结构。我看到网上的教程写得天花乱坠，但实际上它的 skill 就是一个目录，里面放着描述文件、若干提示词模板和可选的可执行脚本。描述文件用 YAML 写的，定义了 skill 的名字、描述、参数，以及触发条件。这里有一个关键点：模型不会自动知道你的 skill 存在，你得通过描述文件把 skill 的用途写清楚，模型在规划任务时才会主动选择调用它。

第二步，把 skill 复制到服务器上对应的 skills 目录。这个路径可以在 Harness 的配置文件里指定。有个细微但重要的事项：你要保证 skill 目录的读权限对 Harness 进程开放。我遇到过一次很诡异的"模型总是忽略我的 skill"现象，排查半天发现是 skill 目录权限是 700，Harness 进程是另一个用户启动的，根本读不到。改成 755 后立即生效。

第三步，验证 skill 是否被正确加载。桌面版的好处在这里体现出来了，界面上有一个"已加载 skill"列表，可以直接看到每个 skill 的解析状态。如果你的 skill 在列表里显示加载失败，多半是 YAML 格式写错了——最容易出错的是缩进和多行字符串的处理。建议在本地用一个 YAML 校验工具先过一遍，再部署到服务器。

第四步，处理内网环境的模型访问。如果模型服务也在内网，那问题不大，配置内网地址就行。如果模型服务在外网，而你的服务器只能走代理出去，那需要在 Harness 的启动环境变量里配好代理。这一步经常被忽略，但缺了它，skill 虽然加载了，模型却调不动，整个链路是死的。

3.3 插件生态：一次失败的插件加载带来的收获

热词里有个搜索串非常具体："harness failed to load plugins web boot: 1 entry did not activate huayu-yuan"。我看到这串字的时候笑了一下，因为这和我踩过的坑几乎一模一样。

我当时装了一个第三方插件，重启后插件列表里就是显示加载失败，日志里报的错和这个搜索串高度相似，核心意思是某个入口没有成功激活。我花了一个晚上排查，最后锁定了问题：插件版本和应用版本不匹配。那个插件的 API 调用了应用最新版才暴露的接口，而我本地的应用版本还没升级到对应版本。

这个事的教训有两个。一是装插件之前先看它的兼容版本要求，别贪新。二是不管插件多好用，加载失败时先清日志、看具体报错，而不是反复重启应用碰运气。日志里通常已经写明了是版本问题、权限问题还是依赖问题，只是信息淹没在一堆警告里，容易被忽略。

4. Harness 引擎的工程细节：上下文管理、代码回退与失败恢复

跑通只是开始。把 DeepSeek Harness 真正用起来、用出工程感，必须理解它内部的几个关键机制。我在研究 Kymo 分享时，他重点提了三块：上下文管理、代码回退、失败恢复。这三块也是热词里出现频率很高的方向，尤其是"deepseek harness 代码回退"和"harness 和 agent 区别"，本质指向的都是同一个问题：一个可工程的 AI 编程环境，到底靠什么保证输出的稳定性和可控性。

4.1 上下文管理：不是把对话记录全塞给模型

刚开始用 Harness 的时候，我犯过一个典型的错误：以为上下文越长，模型对任务的理解就越完整，所以拼命把历史对话、工具返回结果、项目文件内容全部堆进去。结果模型开始出现严重的"注意力漂移"——它对早期的指令越来越不敏感，反而被中段某次工具返回的长文本带偏了思路。

后来我仔细读了 Harness 引擎的上下文管理源码（这部分是开源的），发现它做的不是简单的拼接，而是分层管理。核心上下文永远是任务目标和当前进度，这部分不会被裁剪；工具返回结果会被摘要化处理，只保留对后续决策有影响的结论；历史对话则按时间衰减，太早的内容会被压缩成概要。这套机制保证了模型每次做决策时，看到的是"当前最重要的信息"，而不是"所有发生过的事情"。

这有点像你在处理一个复杂任务时的工作方法，你不会时刻记着上周查过的每一个网页内容，但你会知道结论是什么、下一步该做什么。上下文管理做的就是这件事。

4.2 代码回退：AI 编程最容易被忽视的保险丝

"deepseek harness 代码回退"出现在热词里，说明很多人都在这个功能上栽过跟头，或者很好奇它到底怎么工作。

AI 编程和人工编程有一个本质区别：人是逐步提交代码的，行为可追溯；AI 是连续生成大量代码的，行为往往一次性铺开。如果你让 AI 重构了一个函数，重构完发现逻辑错了，你想找回改之前的版本——如果没有回退机制，你只能祈祷编辑器的本地历史够用。

Harness 的代码回退机制解决的就是这个问题。它会在每次工具执行文件写入操作之前，自动创建快照。这个快照不是整个项目的拷贝，而是被修改文件的副本，加上对应的元数据（时间戳、触发操作的工具调用 ID、当时的上下文摘要）。回退时可以按时间点、按操作、按文件三个维度过滤。

我实际测试了一把：让模型对三个文件做了重构，然后故意让它改坏其中一个，再用回退机制把那个文件恢复到修改前。整个过程大概十秒，文件内容完整还原。这个功能对日常开发太重要了，它相当于给 AI 的每一次文件操作都上了保险。

4.3 失败恢复：崩溃之后还能接着跑

另一个让我很意外的机制是失败恢复。传统做法是进程崩溃了，任务就死了，一切推倒重来。但 Harness 的状态存储设计让它可以做到"断点续跑"。

我故意做了一个测试：跑一个长任务，跑到一半直接 kill 进程，然后重新启动 Harness。它检测到上次任务有未完成的执行记录，提示我可以恢复。恢复之后，它跳过了已经完成的步骤，从上一步的结尾继续往下走。这个体验非常接近"人类的记忆回退到某个时刻重新决策"。

这个能力的背后是结构化状态存储——任务的每一步、每一次工具调用、每一个决策依据，都被序列化保存。所以重启之后它不需要"重新思考"，只需要"继续执行"。对于耗时很长的批处理任务，这套机制价值巨大。

5. MCP 审计方案：Kymo 分享里最硬核的部分

如果说 Harness 引擎让我觉得"有用"，那 MCP 审计方案就是让我觉得"必须抄作业"的部分。Kymo 现场展示的那张审计链路图，说白了是在回答一个问题：AI 调用外部工具的行为，能不能被完整记录、实时监控、事后追溯？

我之前用 MCP 协议接入各种工具时，从来没人跟我提过审计这个概念。工具调了就是调了，返回了就是返回了，日志里有没有记录全看工具自己写没写。Kymo 把这个问题上升到了"安全基础设施"的高度，我认为一点不夸张。

5.1 为什么要给 MCP 上审计：AI 工具调用正在变成新的攻击面

MCP 的全称是 Model Context Protocol，它本质上是给 AI 模型提供了一套标准化的"接入外部世界"的协议。数据库、文件系统、浏览器、设计工具、IM、运维平台，只要实现了 MCP server，就能被 AI 直接调用。这带来了巨大的效率提升，但也带来了一个问题：工具调用权限的边界在哪里？

举个例子。一个 MCP server 同时暴露了"读数据库"和"删数据库"两个工具。模型本身没有判断"这个操作是否被允许"的能力，它只会根据用户指令去执行。如果系统没有做权限控制和审计，任何一次误操作都可能造成不可逆的结果。更可怕的是，如果恶意用户构造了精心设计的提示词，诱导模型去调用敏感工具，而系统浑然不觉——这就是新的攻击面。

所以我理解 Kymo 讲 MCP 审计方案的出发点不是"多一个日志功能"，而是安全底线。AI 接入的能力越多，审计的必要性就越大。这就像你给一个实习生越来越多的重要权限，那你一定希望能看到他到底做了什么。

5.2 审计方案落地：我按这套思路给现有环境加了审计层

Kymo 分享里给的方案，我归纳成五个维度：身份、授权、行为、数据、告警。

身份维度解决的是"谁发起的这次调用"。在 MCP 场景里，识别的不是一个真实的人，而是"哪次会话""哪个用户上下文""哪条配置链"触发的调用。这要求审计系统在会话建立时就要埋好链路 ID，后续所有调用都携带这个 ID。

授权维度解决的是"这次调用合不合法"。在审计之前先要有授权策略：哪些角色可以调用哪些工具？哪些操作需要审批？哪些参数组合是危险的？授权策略建议在 MCP server 的工具定义层做注解，比如给工具打上"只读""高风险""需审批"的标签。Harness 引擎在决定是否允许调用时，会先查这些标签。

行为维度是最核心的审计记录。每次工具调用要记录的内容包括：调用的工具名、传入的参数、返回的摘要、执行耗时、调用前后上下文的关键变化。这里有个技术选型问题：日志到底记全量还是记摘要？我建议分层设计——正常操作记摘要，异常操作记全量。这样既能控制存储成本，又能在出问题时拿到完整证据链。

数据维度关注的是敏感信息。MCP 调用经常涉及数据库查询，返回结果可能包含用户隐私或商业机密。审计系统要能识别出敏感字段，在日志里做脱敏处理。这里我踩过一个坑：最开始审计日志直接落盘，结果把 SQL 查询和完整返回结果全记进去了，带来不小的数据风险。后来改成对返回结果做字段级脱敏，只保留行数和错误信息，风险才控住。

告警维度是审计的闭环。审计不是"记录完就完了"，还得有实时告警。我配置了几条规则：命令类工具调用白名单外的一律告警；读写权限异常的报错一律告警；单位时间内工具调用频率超过阈值就告警。这些规则可以很粗糙，但一定要有，否则审计日志和没有一样。

5.3 审计链路图背后的实现思路

Kymo 现场展示的那张链路图，我后来在本地复刻了一个简化版。做法是在 Harness 引擎的工具调用拦截层挂一个审计插件，每个调用在到达 MCP server 之前，先走一遍审计插件，记录完再放行。放行后拿到结果，再记一笔执行结果。

这个做法的好处是侵入性低。你不需要改任何 MCP server 的代码，只需要在 Harness 的调用链路上加一个中间层。相当于在高速公路入口装了一个 ETC 通道，不管你跑的是哪辆车，都能被记录到。如果你的 MCP server 数量多、来源杂，这个中间层方案尤其省事。

5.4 一个容易被忽略的点：审计日志本身的存储安全

审计日志记录了 AI 的所有敏感操作，那这些日志本身也要防篡改。我建议大家至少在日志文件上做只读权限控制，有条件的话可以做成追加写（append-only），配合定期归档。这里不展开加密链等技术细节，但有一条铁律：审计系统的日志权限必须大于等于被审计系统的权限，否则没有意义。你审计了一个高权限的 MCP server，结果日志文件谁都能改，那审计就等于白做。

6. MCP 生态里的真实场景：从业务系统到游戏引擎

研究 Harness 和 MCP 审计的过程中，我看到热搜词里暴露了大量真实使用场景。这些场景分布非常广，从企业业务系统到游戏引擎，再到逆向调试工具。这说明 MCP 已经不是概念验证阶段，而是被大家实实在在地用在各种生产环境里了。

6.1 业务系统合并 MCP：ruoyi-vue-pro 的热度说明什么

热词里出现"ruoyi-vue-pro合并mcp功能"，我专门研究了一下这个需求。ruoyi-vue-pro 是一个非常流行的后台管理脚手架，大量中小型项目基于它二次开发。用户想在它的框架里接入 MCP，目的很简单：让 AI 能直接操作项目的数据库和代码结构，提升开发效率。

这个需求的难点不在于 MCP 本身，而在于接入方式。直接在脚手架的 Controller 层加一个 MCP server 端点，属于最粗粝的做法，安全和权限控制都很弱。更稳妥的方式是单独部署一个 MCP server 服务，通过配置管理它暴露给 AI 的工具和权限，和主系统保持松耦合。这样即使 AI 调用出了问题，也不会把整个业务系统拖垮。类似地，dify 的浏览器 MCP、postgresql 的 skill 或 MCP 也都遵循同样的原则——独立部署，授最小权限，全链路审计。

6.2 游戏引擎和逆向调试工具：MCP 不是程序员的专利

"unreal 5.8 mcp"和"codex"两个词放在一起，说明有开发者已经在尝试让 AI 去操作 Unreal Engine 编辑器了。这目前还属于很前沿的用法，因为游戏引擎的编辑器操作复杂，MCP server 需要封装大量编辑器 API。但方向很明确：一旦跑通，AI 就能根据自然语言指令去做场景搭建、资产整理、蓝图调整。这种场景下的审计尤为重要，因为编辑器操作直接影响游戏资源，一旦 AI 误操作，改坏的资源很难手工恢复。

"cheat engine 桥接 MCP"和"x32dbg 的 mcp 插件"这两个热词也很有意思。Cheat Engine 是经典的游戏内存修改工具，x32dbg 是常用的逆向调试器。有人已经在尝试给这些工具做 MCP 桥接，本质上是想让 AI 参与游戏逆向分析。这种用法有很强的技术含量，也有很高的风险，审计方案在这里不是"可选"，而是"必须"。工具本身的能力越强、危害越大，越需要能回答清楚"AI 做了什么、为什么做"。

6.3 设计协作工具也上了牌桌：Figma 和蓝湖的授权问题

"codex 接入 figma mcp 怎么授权"和"codex 接入蓝湖 mcp"这两个热搜词，反映出来的是另一个群体的需求：想让 AI 读取设计稿、生成前端代码的人越来越多了。这里暴露的问题很有代表性，就是授权。Figma 的 MCP server 要读取文件内容，涉及密码和 token 的存储；蓝湖的 MCP server 要访问团队项目，涉及成员权限的映射。这本质上是传统应用的第三方授权和 MCP 的结合。我的建议是走最小授权路线，专门为 AI 建一个只读账号，且这个账号只能访问指定的项目，不要用个人账号直接授权。

7. 会哭的孩子有奶吃：我在实操中踩过的坑和学到的教训

研究完框架、跑通 demo、给现有环境补上审计层之后，我还想把这几天遇到的一些鸡零狗碎的问题集中写出来。这些问题单拎出来都不大，但每个都消耗过我的时间，而且搜遍文档也未必有答案。

7.1 插件加载失败别急着重启，先读日志

前面提到"harness failed to load plugins"这种问题，我再展开一点排查思路。应用日志一般在 logs 目录下，里面有每次启动时插件加载的详细记录。报错信息里通常包含插件 ID、加载阶段的错误描述。我遇到过的几类情况分别是对不上版本 API、缺少依赖包、插件入口文件路径没解析到。先看报错属于哪一类，再下手处理，不要一上来就重装插件，那样只会浪费时间。

7.2 代码回退之前，先确认你的配置没把快照功能关掉

我用代码回退功能时遇到过一个情况：明明操作了文件，回退面板里却看不到任何快照。排查到最后发现，是我的配置文件里把快照保留数量设置成了 0。这个配置项本意是"不保留历史快照以节省磁盘"，但代价就是回退功能完全失效。如果你特别依赖回退功能，务必检查这个配置项，别等代码被改坏才发现救不回来。

7.3 审计日志不要一上来就追求大而全

给 MCP 上审计时，最容易犯的错误是一开始就想着"所有调用全纪录、所有字段全保留"，结果没跑两天就把磁盘写爆了。我的经验是优先记录"高风险工具"的完整调用链，低风险工具先记录摘要，等系统稳定运行一段时间后，再根据实际需要逐步打开更细的日志。审计系统要的是可持续，不是一次性表演。

7.4 MCP 的鉴权参差，别指望所有 server 都规范

MCP 终究还是生态发展初期的协议，不同的 MCP server 在鉴权上的水平差异很大。有的 server 暴露了敏感工具但只有非常弱的密钥保护，有的 server 连基本操作都会把敏感数据打在日志里。我的建议是在 Harness 引擎和 MCP server 之间统一加一层网关，对外统一接管鉴权和审计，这样无论你的 MCP server 自己做得是否到位，最外层都有一道兜底防线。

8. 研究完之后，我会怎么用这套东西

云栖那个下午最大的收获，是把"AI 工具调用"从一段可以随便跑的代码，重新理解成了一套需要认真设计的基础设施。Harness 引擎承接的是"怎么让 AI 安全地干活"，MCP 审计方案承接的是"怎么让 AI 干过的活可追溯"。这两者结合起来，才是 AI 编程工具落地的完整形态。

我现在的实际工作方式已经变了。凡是接入 AI 的外部工具，必须过 Harness 引擎；凡是高危工具调用，必须能看到审计日志。这个习惯一旦养成，模型本身的能力反而不是我最担心的点了——真正让我睡得着觉的，是那套从调用到回退、从记录到告警都有据可查的工程框架。

最后说一个实际的小技巧。如果你也在单机环境研究这套东西，建议先把快照保留数量配置调大一点，把审计日志输出路径独立出来，再把高风险工具的告警阈值调得敏感些。前两个设置是保命用的，第三个设置是帮你快速建立"什么行为是异常"的直觉。调好这三项，剩下的就可以慢慢摸索了。