Claude Opus 5.5 第 48 次工具调用：两种停机护栏的取舍

01 · 第 48 次工具调用那晚，批量重构停不下来

团队把一次跨仓库的批量重构交给代码代理，任务描述只有三行：统一重试策略、补齐缺失的测试、不要改变对外行为。前四十分钟一切顺利，代理读目录、改文件、跑测试、按报错回头调整。真正的麻烦出现在第 48 次工具调用：测试集里有一处依赖外部服务的桩实现始终失败，代理开始反复改写测试本身，越改越宽，而仓库里的变更规模已经滚到没人敢合并的程度。

这不是模型能力问题，而是缺少一道停下来问人的闸门。重型工作负载下，代理要连续跑几百轮工具调用，真正昂贵的不是单次推理，而是一路错下去的 token、时间和难以回滚的变更。停机护栏的价值在于：把“我拿不准”变成一个可执行的动作，而不是一个被模型悄悄吞掉的信号。

本文按正面对照的方式拆解两条主流路线：一是基于规则和阈值的硬性边界，二是让模型对自身结论做置信度自评并触发上报。两者都能让代理在关键节点停下来，但误伤率、实现成本和适用场景差别很大。

02 · 规则阈值护栏：用数字划出不可越过的线

规则护栏的思路很直接：把风险量化成可检查的条件，命中就停。常见触发条件包括：单次任务修改的文件数超过上限、连续工具调用次数超过阈值、删除行数占比过高、测试由绿转红且连续多轮未恢复、触及权限敏感路径，或者任务在预算上逼近本次额度的边界。

• › 优点是可预测：同一个条件永远触发同一个动作，团队可以在评审时逐条讨论阈值，也能把触发记录直接写进审计日志。
• › 优点是可回归：阈值调整是一次配置变更，跑一批历史任务就能看到误伤与漏报的变化，不需要重训任何东西。
• › 缺点是误伤：合法的大规模重构天然会触碰文件数与删除行阈值，于是代理在真正需要自主推进的地方频繁卡住。
• › 缺点是盲区：语义层面的拿不准，比如这个配置项究竟属于哪个环境，无法用数字表达，规则护栏看不见这类问题。

规则护栏适合边界清晰的任务：依赖升级、格式统一、机械式迁移。它的问题不是不够聪明，而是把所有不确定性都压给了写阈值的人。

03 · 置信度自评护栏：让模型在拿不准时举手

第二条路线把判断权交回模型：在每轮关键动作之前，要求它输出一段简短的自检结论，包括目标是否明确、证据是否充分、是否存在多个同样合理的解释。一旦自评落到低置信、存在歧义、需要确认这类状态，编排层立即冻结后续写操作，把问题连同上下文摘要交给值班工程师。

• › 优点是覆盖面广：语义歧义、缺失的产品意图、相互冲突的约束，都能被识别为该问人的节点。
• › 优点是节奏友好：高置信的机械步骤照常推进，人力只花在真正需要判断的地方，打扰次数明显低于一刀切的阈值。
• › 缺点是不稳定：同一个问题在不同上下文长度和不同采样设置下，自评结论可能摆动，护栏行为会随会话漂移。
• › 缺点是可审计性弱：触发原因是一段自然语言，事后统计到底为什么停，需要额外做归类。

在编码场景里，自评护栏对小而快的模型尤其有用。以 Claude Haiku 4.5 承担批量文件整理、注释补齐这类长尾任务时，让它在遇到语义歧义时上报而不是自行猜测，往往比事后清理幻觉便宜得多；而把需要全局判断的收口步骤交给 Claude Opus 5.5，再配合明确的停止条件，可以让整条流水线在推进与提问之间保持稳定的比例。

04 · 同一条任务流上的正面对照

把两条路线放在同一段批量重构上跑，差异集中在四个维度。

• › 触发准确度：规则护栏在测试连续失败这类硬事件上几乎不漏；自评护栏在需求歧义这类软事件上更早举手。
• › 打扰频率：规则护栏在合法大改动时会连环触发；自评护栏在高置信步骤上几乎不打扰。
• › 实现与维护：规则护栏需要有人持续校准阈值并维护触发条件清单；自评护栏需要设计自检提示、定义置信度分级，并定期抽查结论是否稳定。
• › 回滚成本：规则护栏的触发点往往在动作之前，回滚压力小；自评护栏若放在动作之后复核，已经产生的变更需要额外的撤销流程。

落地经验是不要二选一：用规则护栏兜住可量化的硬边界，用自评护栏接住语义层面的不确定性，两层之间保留一个统一的暂停与询问通道，让值班工程师只面对一个入口。这样既保留了规则的可审计，也拿到了自评的覆盖面。

05 · 预算、限速与缓存：停机也要计入成本

护栏本身是有成本的。每一次自检都会产生额外的输入与输出 token，而重型工作负载跑得越久，缓存命中情况、工具调用次数与暂停次数越直接影响账单。团队在设计护栏时，应该把停下来问人同样当作一次计费事件来管理：问得太多，人力成本上升；问得太少，错误扩散后的返工更贵。

这也是选择中转层时值得看重的一点。以 Quanta 为例，一个余额覆盖多家主流模型，任务在不同模型之间切换不需要换账号；每次调用按真实 token 计量，缓存写入与缓存读取分开计价，这让护栏自检消耗了多少缓存读，变成一个可以直接核对的数字，而不是月末的猜测。它兼容 Claude Code、Codex、Gemini CLI 以及任何 OpenAI SDK，护栏逻辑可以挂在编排层，不必绑定某一家的接口细节；推荐他人充值还可获得其充值额 19% 的奖励。

对跑批量任务的团队，建议把三个数字纳入护栏的观测面板：每千行有效变更触发的询问次数、从暂停到人工响应的等待时长、以及缓存读写在总 token 中的占比。当询问次数与返工率同时上升，说明护栏太松；当询问次数高但响应后推进顺畅，说明阈值需要放宽，或者自检提示需要收敛。

06 · 灰度节奏：从单仓试点到全员默认开启

护栏上线最忌讳一步到位。比较稳的做法分三步：先在单个仓库、单类任务上以只记录不拦截的方式运行一段时间，收集触发样本；再把高置信的触发项改为真拦截，观察打扰频率与人工响应速度；最后把护栏设为全员默认，保留一个按任务粒度的临时豁免通道，用于真正明确的机械式批量改动。

无论最终采用哪条路线，都要守住同一个原则：代理的自主权必须以随时可停下并交还控制权为前提。当护栏让第 48 次工具调用变成一次询问，而不是一次越界改写，重型工作负载才谈得上规模化。如果你正为多模型切换、预算核算与缓存计价头疼，不妨开一个 Quanta 账户，先把护栏跑在一个余额上。