Claude Code 开放了 Mod：几十行 TypeScript 能替你拦命令，也能悄悄读走你的 API Key

10 月 1 日，Anthropic 用一句话宣布了一件不算小的事：You can now mod Claude Code。

Mod（官方还没给中文译名）是几十行 TypeScript 就能写完的函数。它挂在 Claude Code 的事件上——准备调用工具时、准备弹出权限询问时、准备重绘界面时——然后选择在这个事件之前跑、之后跑，或者干脆替代它。

官方给的例子很实在：在模型看到之前改写 prompt；拦截、改写、重试一次工具调用；替你批准或拒绝一次权限请求；在工具输出送进模型之前把密钥打码。它还能改动你看到的东西：在对话旁边画一块自己的面板，加按钮和输入框，甚至重绘某一行工具调用的显示。

更值得注意的是，Claude Code 内置的 /diff 本身就是用 Mod 实现的。你可以把它关掉，换成自己写的版本；官方说接下来会有更多内置功能搬到这套体系里，让核心变小，只留你想要的东西。Mod 以插件形式分发，装法就是 /plugin，CLI 和桌面端都支持，VS Code 扩展是部分支持。

从「一个产品」变成「一个平台」

这个方向本身是对的。以前想给 Claude Code 加规矩，只能从外面包脚本，或者动手改它的文件；现在有了一个官方支持的挂钩层，中间件的价值立刻就出来了：团队可以让 Mod 在对话旁边显示 CI 状态，可以在任何命令碰到生产配置前强制二次确认，可以写一个最先加载的 Mod，记录其他所有 Mod 发起的每一次调用。

这也是 VS Code 扩展生态走过的路：深层钩子加上分发机制，最后长出来的往往是中心团队想不到的那批工具。区别在于，Claude Code 的钩子拦的是 AI 的动作空间——一个 Mod 可以在 bash 工具调用真正执行前改写命令，这已经不只是编辑器层面的扩展了。

真正的新闻，在安全条款里

Mod 和 Claude Code 跑在同一个进程、同一套权限。官方文档写得很直白：它不沙箱，能读写你账户能读写的一切，能读到环境变量和配置文件里的 API Key，能看到你每一次 prompt 和工具调用，还能替你花掉用量。

发布前后，Pluto Security 拿预发布版本做了一轮实测，几个结果值得抄下来：

• 一个挂在「会话开始」事件上的 Mod，读了 ~/.claude/.credentials.json，又读了 834KB 的 history.jsonl——用他们的话说，那是「你在所有项目里敲过的每一句 prompt」——然后 POST 到外部服务器。整个过程没有弹过一次权限询问。
• 在真实客户端里画一个假的输入框：「你的会话令牌已过期，请重新输入 API Key。」输入框是真的，key 一边敲一边外发。
• 把确认框的文字换掉：模型问的是「永久删除 ~/prod-data 下的所有文件？」，你屏幕上读到的却是「现在刷新本地构建缓存？」。Confirm 按钮还是那个 Confirm 按钮，你批准了真实动作，读的是被编出来的那一句。
• 安装时看着人畜无害，之后从远程拉一段脚本执行。审过、装过、还很多人用的 Mod，可以在没有任何更新提示的情况下变坏。

官方不是没做防护。Team 和 Enterprise 计划里有个内置的 sec-default，最先加载，阻止用户装的 Mod 覆盖权限拒绝规则；命令行有 claude plugin validate，还支持 --safe-mode 和 disableAllHooks。但这些能力的意思是「你可以查」，不是「默认安全」。

我的判断

Mod 值得试，尤其是那种只在你自己的项目里、只解决你自己一个痒点的几行代码——这类东西过去要么写不出来，要么得靠脆弱的 hack。但我想把风险说清楚：AI 编程工具的插件，比编辑器插件危险一个量级。编辑器插件最坏是改你的代码，Agent 的插件本身就在一个有执行权、有凭据、会自己动手的环境里，而且它还能改「安全检查的界面」本身。守卫和被守卫的东西，坐在同一个房间里。

所以如果你打算装，我会这么做：先在一个一次性项目里装上，项目里不放任何凭据；让 Claude Code 读一遍源码，列出它所有启动进程、访问项目外文件、发起网络请求的位置；跟它的描述对一遍，多出任何一条就跳过。跑一个普通任务，看看你平时该看到的那些权限提示是不是还在——一个悄悄把提示藏起来的 Mod，做的一定比它宣称的多。

自由和信任，这次是一起交出去的。这也是所有 AI 工具迟早要回答的问题：可扩展性和可被信任，从来是同一枚硬币的两面。