Tesseracted Labs flytter kodeagent-sikkerhet fra prompt til runtime-hooks

«Det funket, på et vis.» Slik oppsummerer Spotify sitt første forsøk på å styre modellruting ved å skrive reglene inn i CLAUDE.md. Instruksjonene var rådgivende, så Claude kunne overse dem, og teamet flyttet regelen til PreToolUse i stedet. Der blokkerer Shunt-utvidelsen deres fullesing av filer over en terskel på 350 linjer og peker Claude videre til en billigere bulk-leser. Spotifys egen måling oppgir 82 til 94 prosent spart på de store filene, rundt 90 prosent i snitt. Historien er ett av eksemplene i et erfaringsnotat konsulentselskapet Tesseracted Labs publiserte 15. september.

Skillet de bygger alt på er preferanse mot invariant. En preferanse er noe du vil at modellen skal veie. En invariant må alltid holde, og bør derfor ikke bo inne i det sannsynlighetsbaserte systemet den skal begrense. Kontrollene deles i fire lag: prompter former oppførsel, tillatelser sperrer kapabiliteter, hooks kjører programmerbar policy på punkter i agentens livssyklus, og sandkassen begrenser hva kode som kjører kan nå.

Eksemplene er konkrete. Lekkasjekontroll hører i UserPromptSubmit, som fyrer før Claude får prompten, fordi policyen alt har feilet i det modellen har mottatt en AWS-nøkkel. Kostnadstak hører i PostToolBatch, og de reserverer prisen på neste modellkall, slik at en sesjon som har brukt 4,91 dollar av et tak på 5,00 stopper før neste inferens og ikke etter. Egen komprimering av store verktøysvar gikk fra rundt 90 sekunder til 2,5 sekunder da de byttet til en modell laget for jobben.

Notatet er samtidig tydelig på at hooks ikke er en sikkerhetsgrense. En hook som godkjenner bash ./deploy.sh, har ikke begrenset systemkallene skriptet kan gjøre, og tilstanden kan endre seg mellom sjekk og bruk. Den harde grensen ligger lenger ned, i Claude Codes sandkasse med Seatbelt på macOS og bubblewrap på Linux og WSL2. Tesseracted Labs selger workshops på dette, så notatet er også et salgsdokument, men oppskriftene er kjørbare.

Hva bør du gjøre?

1. Gå gjennom CLAUDE.md og sorter hver linje i to bøtter: preferanser modellen skal veie, og invarianter som må holde uansett. Bare de første hører i prompten.
2. Start nye kontroller i logg-modus. Tesseracted Labs kjører lekkasjekontrollen sin i «ville blokkert»-modus først, for å måle falske positive før håndheving slås på.
3. Ikke la agenten eie sin egen policy. En hook som ligger i repoet agenten selv kan redigere, er ingen organisatorisk kontroll.