TOOLS / 8 BOOKS / 04 · ENGINE v1
Claude Code 与 OpenAI Codex
本册：终端 Agent 的物理边界
30 SECONDS / 30 秒看懂
这一册只解决一件事：网页版 AI 被困在浏览器沙盒，终端 Agent 才能直接操作你电脑上的文件、命令和项目。
- 云端模型负责推理，本地终端负责执行
- AGENTS.md/CLAUDE.md 给终端 Agent 项目规范
- 三级权限：建议、自动编辑、全自动，危险命令需确认
3 MINUTES / 3 分钟拆解
先看来源里的例子：PDF 本册核心例子（来源）
对 Claude Code/Codex 说：“扫描桌面 messy_invoices 文件夹，按日期重命名并汇总成 Excel。”
发生了什么
网页版无法访问本地文件系统；终端 Agent 在本机进程中调用文件读写、Python、Git 等工具，完成后文件直接落在桌面。
输出
来源结论：大脑在云端，手脚在本机；授权边界和审批模式决定安全。
术语拆开
- Local CLI Agent
- 运行在本机终端的智能体。
- Sandbox
- 限制文件/命令访问的隔离层。
- HITL
- 关键操作由人类确认。
为什么有效
来源指出：浏览器同源策略禁止网页访问本地磁盘；终端 Agent 是本地进程，因此能操系统，但必须配沙盒和权限。
结构长什么样
云端模型 → 本地 Harness → 文件/终端/脚本 → 审批/沙盒 → 结果
为什么网页版 AI 不能直接在你的桌面创建文件？
SOURCE READING / 来源精读
本册讲 Claude Code/Codex 如何从云端模型变成能操作本地终端的 Agent，以及权限、沙盒与项目规范。
逐点读懂
- 浏览器沙盒不能碰本地文件
- 终端 Agent 是云端推理加本地执行
- 项目规范文件决定 Agent 行为
怎么对应本关练习
先用 30 秒看懂抓四层结构，再读本册的‘顿悟时刻/原理/动手实验’，最后做课后自测；答案在下方。
例子在哪
本册的动手实验与课后自测都在原文；参考答案见本页下方。
终端 Agent 的物理边界
【第二辑:神兵利器篇 · 课题 04 / 08】AI 现代必修课 · 前沿工具深讲与动手实验讲义
利器04:终端自主编程与电脑操控代理——Claude Code 与 OpenAI Codex 实战突破浏览器围墙,让 AI 直接住进你的操作系统终端:搞懂 CLAUDE.md 与 AGENTS.md 开放标准、三级安全沙盒与本地文件自动化核心知识参考:OpenAI Codex CLI Repository、Codex CLI Docs、Claude Code Complete Guide 与 Codex & AGENTS.md Guide
一、顿悟时刻:哦,原来为什么网页版 AI 永远碰不到你的桌面,而终端 Agent 一句
话就能操控全盘!在本课程最开始时,你曾问过一个极具代表性的问题:“为什么网页版 AI 不能像 Codex 一样直接在我的电脑桌面上创建文件?
” 这个问题恰恰点中了 2025‒2026 年 AI 工具演进最核心的分水岭:从“关在云端浏览器沙盒里的聊天机器人”,进化为“直接运行在你本机操作系统终端(Terminal)里的自主行动代理——Claude Code 与 OpenAI Codex CLI / App”!
我们先用 3 分钟把这层底层物理架构彻底讲透。
真相一:“云端容器沙盒” vs “本机原生终端代理(Local CLI Agent)”的物理边界当你在浏览器里使用网页版 ChatGPT、Claude 或 Gemini 时,为了全网用戶的电脑安全,浏览器执行着极其严格的同源安全隔离策略(Browser Sandbox)——网页里的代码根本没有权限访问你的 C:\Users\Desktop 或 /Users/yourname/Desktop。
哪怕云端模型生成了一个文件,它也只能先保存在远端机房的临时虚拟机里,等着你手动点击下载。
而当你通过命令行在自己的电脑上安装并启动 Claude Code 或 OpenAI Codex CLI 时,架构发生了 180 度翻转: 大脑在云端,手脚在你本机!
它们的思考推理依然调用云端最顶尖的旗舰模型(如 Claude Fable 5.1 / Opus 5.5 / Sonnet 5.5 或 GPT-6.1 Sol / GPT-6 Astra(以及通过原生双协议一键接入的 DeepSeek-V4-Pro / V4.1-Flash-1017)),但它们的宿主执行引擎(Harness)直接作为本地进程运行在你的电脑终端里!
原生调用本机一切系统工具:只要你授权,你可以直接对它说一句自然语言:“请帮我扫描桌面上 messy_invoices 文件夹里的所有 PDF 和图片,按日期重命名并汇总成一张桌面上的 Excel 表”——它会在你本机直接调用命令创建文件夹、读写文件、运行 Python 脚本或 Git 命令,干完活文件就已经静静地躺在你桌面上了!
真相二:两大终端王牌的对决与统一标准——为什么 CLAUDE.md 与 AGENTS.md 是它们的“灵魂记忆卡”?
每次你在终端启动 Claude Code 或 Codex CLI 时,它们默认都是一个“刚开机、不了解你项目习惯”的新进程。
为了让它们一开机就秒懂你的目录结构、常用命令和禁忌规则,业界形成了一套极其重要的“项目级指令文件标准”(参考 Codex CLI & AGENTS.md 指南与 2026 CLI Coding Agents 综述): CLAUDE.md 与开放标准 AGENTS.md:Claude Code 默认首先读取项目根目录下的 CLAUDE.md,而 OpenAI Codex CLI、Cursor 等共同推动了跨工具开放标准 AGENTS.md(且自 Claude Code v2.1.277 起,若目录中无 CLAUDE.md,Claude Code 也会原生自动读取 AGENTS.md!
)。这意味着你只需要在项目或工作目录里放一份 AGENTS.md,两大终端神兵都能同时读懂你的规矩!
| 对比维度 | Anthropic Claude Code | OpenAI Codex(CLI & macOS App) |
|---|---|---|
| 一键安装命令 | npm install -g @anthropic-ai/claude-code (进入目录后输入 claude 启动) | npm install -g @openai/codex (进入目录后输入 codex 启动,macOS 亦支持桌面指挥中心 App) |
| 主力驱动模型 | Claude Fable 5.1 / Opus 5.5 / Sonnet 5.5 (亦支持通过 Anthropic 兼容端点挂载 DeepSeek-V4.1) | GPT-6.1 Sol / GPT-6 Astra & Sol (亦支持通过 OpenAI Responses API 一键挂载 DeepSeek-V4.1,或使用开源 DeepSeek Harness) |
| 项目指令记忆文件 | CLAUDE.md(原生兼容读取 AGENTS.md) | AGENTS.md(开放标准,支持全局 ~/.codex/AGENTS.md 与目录级覆盖) |
| 安全沙盒与权限机制 | 默认每次修改文件或执行危险 Shell 命令前弹窗询问确认;支持配置 Hooks 钩子与自定义 .claude/skills。 | 内置操作系统级内核沙盒(macOS Seatbelt / Linux 容器),提供清晰的三级审批模式 (Suggest / Auto-Edit / Full-Auto)。 |
二、核心操作深讲:三级安全沙盒、必会斜杠命令与非程序员桌面自动化
1. 既要全自动爽感,又要绝对安全:看懂 Codex 与 Claude Code 的三级权限护栏
很多学习者担心:“让 AI 直接在终端跑命令,万一它执行了一句 rm -rf 把我桌面重要文件删了怎么办?” 这正是 OpenAI Codex CLI 与 Claude Code 设计精妙的地方——你可以通过 /approvals 或启动参数自由切换三档安全水位:
1. 第一档:Suggest(建议模式 · 最安全)——AI 可以读取当前目录文件,但每当它想修改任何文件或运行任何
终端命令时,都会停下来展示拟执行的命令,必须由你按回车确认(Approve)才放行。
2. 第二档:Auto-Edit(自动改文件模式 · 日常推荐)——允许 AI 自动创建和修改当前工作目录内的文件,但只
要它想执行 Shell 终端命令(如安装包、删除或联网),依然必须经过你人工批准。
3. 第三档:Full-Auto(全自动沙盒模式 · 无人值守利器)——AI 可以全自动读写文件并运行测试命令,直到任
务彻底完成!但注意:在 Full-Auto 模式下,Codex 会自动启用操作系统底层沙盒(防御围栏:物理封锁外部网络访问,且严格将文件读写权限锁死在当前打开的子文件夹内,绝对无法越界修改你电脑的其他目录!)。
2. 高手每天必敲的四大黄金斜杠命令(Slash Commands)
# 在终端进入你的工作目录并启动代理 cd ~/Desktop/my_workspace claude # 或输入 codex # 1. 自动扫描当前目录并一键生成项目说明书(CLAUDE.md / AGENTS.md) /init # 2. 当连续对话十几轮后,将冗长历史浓缩为核心状态摘要(释放 80% 窗口并防变笨!
) /compact # 3. 彻底清空当前对话历史,开启下一个毫无关联的新任务 /clear # 4. 实时查看或切换当前模型与沙盒权限级别 /model /approvals
3. 哪怕不写软件,普通人如何用终端 Agent 实现“一句话桌面办公自动化”?
终端 Agent 绝不仅仅是程序员的专利!
只要你在桌面上新建一个专门的工作文件夹(如 ~/Desktop/AI_Inbox), 把需要处理的杂乱文件丢进去,在里面启动 claude 或 codex,就可以直接用大白话下达以下日常任务: 批量整理与重命名:“请扫描当前文件夹下所有的 PDF 电子发票和论文,读取每份文件第一页的核心标题与日期,将它们统一重命名为‘日期_核心标题.pdf’,并按月份自动建立子文件夹归档。
” 多表合并与核对:“当前目录下有 12 张不同月份的 CSV 报表,请帮我写一段 Python 脚本并在本地直接运行,将它们合并去重,算出全年各分类汇总表,并在当前目录生成 summary_2026.xlsx。”
三、动手实验(Hands-on Lab):在你的电脑桌面上完成第一次终端 Agent 操控
实验 1:亲手建立 AGENTS.md 并在桌面沙盒文件夹中自动生成整理成果
1. 在电脑桌面上新建一个名为 agent_sandbox_lab 的空文件夹,在里面随便放入 5 个名字杂乱的 .txt 或 .md 笔记
文件。
2. 在终端进入该文件夹,启动 claude 或 codex,首先输入 /init 观察它如何自动探查你的文件夹并生成初始规范
文件。
3. 输入自然语言指令:“请帮我读取当前目录下所有文本文件的内容,在当前目录下直接创建一个名为 README_Index.md
的总目录文件,用表格列出每个文件的名称、字数统计与一句话内容摘要。” 亲眼看着你的本地文件夹里直接长出生成好的文件!
四、课后自测习题与详细解析(5 关 50 分 · 检验你的终端特工掌控力)
【课后自测题(请先独立思考作答,再对照下方解析)】
1. 第 1 题(物理架构边界理解 · 10 分):为什么网页版大模型不能直接在你的电脑桌面上创建或修改文件,
而安装在本地的 Claude Code 和 OpenAI Codex CLI 却可以?在运行它们时,到底是模型跑在本地,还是执行器跑在本地?
2. 第 2 题(跨工具指令规范标准 · 10 分):如果你希望自己维护的一个项目文件夹,既能被团队里使用
OpenAI Codex CLI 和 Cursor 的成员无缝读取规则,又能被使用最新版 Claude Code(v2.1.277+)的成员自动识别,你应该在项目根目录下创建什么名字的 Markdown 文件?里面通常应该写哪三类信息?
3. 第 3 题(Full-Auto 全自动模式安全机制 · 10 分):当你在 OpenAI Codex CLI 中开启最高自动化的 Full-
Auto 模式让它自己改代码并跑测试时,系统底层采取了哪两项物理隔离措施,来防止模型因为幻觉把你电脑系统盘删掉或把本地密钥发到外网?
4. 第 4 题(斜杠命令实操应用 · 10 分):在使用 Claude Code 的过程中,你刚让它完成了“数据清洗脚本编
写与测试”,现在准备让它在同一个项目里开发“前端可视化展示页”。请问在切换子任务时,敲 /compact 和敲 /clear 分别适用于什么情况?
5. 第 5 题(非程序员桌面批处理安全习惯 · 10 分):一位没有编程经验的订阅者想用终端 Agent 帮他整理电
脑里的 300 份历史文档。为什么我们强烈建议他“先在桌面上新建一个专门的子文件夹(如 ~/Desktop/work_folder)并在该子文件夹内启动终端 Agent”,而绝对不要直接在电脑根目录 / 或整个用戶主目录 ~ 下启动并开启自动修改?
PRACTICE / 本关练习 · 本地规则 + 覆盖检查
本册课后自测与实验
本地检查在你的浏览器里完成，不上传。覆盖检查需要先登录（免费注册），并把这段答案发送到服务器计算一次，算完即弃、不存档，需你点同意；只核对本关评分项覆盖的方向，不在评分项里的题目不会被检查。
评分项
结构分 — / 50 分
查看参考答案与得分点 先自己写，再打开＋
参考答案与解析
1. 第 1 题解析:网页版受限于浏览器的安全沙盒隔离策略(Browser Sandbox),无权直接访问宿主机本地文
件系统;而 Claude Code 与 Codex CLI 采用“云端大脑(云端旗舰大模型 API 负责推理决策)+ 本地手脚 (运行在用戶本机 Shell 中的宿主程序负责文件读写与命令执行)”架构,因此能直接操控本地目录。(说清浏览器沙盒限制与“云端推理+本机执行器”架构得 10 分)
2. 第 2 题解析:应创建开放标准文件 AGENTS.md(或同时建立软链接 ln -s AGENTS.md CLAUDE.md)。里面通常应包
含三类核心信息:1 项目整体目录结构与核心模块说明;2 构建、运行与测试的标准终端命令(如 pytest、npm run build);3 代码⻛格与协作红线约束(如最小改动原则、禁止硬编码密钥)。(答对 AGENTS.md 得 4 分,列出三类核心内容得 6 分)
3. 第 3 题解析:Full-Auto 模式在操作系统底层启用了内核级沙盒(如 macOS Seatbelt 或 Linux 容器隔离),
实施两项硬隔离:1 文件系统写权限锁定(Directory Jail)——严格限制仅允许在当前启动的工作目录 (Current Working Directory)及临时目录内进行读写,禁止修改上级或系统目录;2 网络通信默认阻断 (Network Disabled)——防止恶意脚本或提示词注入将本地敏感数据外传。(两项物理隔离措施各 5 分)
4. 第 4 题解析:如果接下来的“前端展示页”需要用到刚才数据清洗脚本产出的数据格式与结论,应敲
/compact——它会将刚才冗长的调试过程压缩为一段简明的交接摘要保留在上下文中,既不断片又省 80% 窗口;如果新任务与刚才的任务完全独立、毫无关联,则应直接敲 /clear 彻底清空上下文,实现零干扰起步。 (准确区分 /compact 保留浓缩记忆与 /clear 彻底重置得 10 分)
5. 第 5 题解析:遵循计算机安全中的“最小权限原则(Principle of Least Privilege)”:终端 Agent 的文件搜
索与沙盒写权限是以**当前启动的工作目录(CWD)**为根边界的。如果在整个主目录 ~ 或根目录 / 下启动,不仅全盘扫描文件极慢,而且一旦指令表述不清,可能会误改系统配置文件或其他无关私人文件夹;而在专用子文件夹(甚至先复制一份备份)内启动,影响半径被 100% 锁死在该文件夹内,安全可控。(从最小权限半径与防误改角度解释得 10 分)
网页永久免费。完整 PDF 会按顺序发给留邮箱的读者，不转售、不群发广告。
留邮箱，获取完整 PDF ↗