为什么AGENTS.md有时候也没法约束ai

[lindaisheng]

[denial123789]

关键点是：AGENTS.md 是给模型看的工作区指导，不是强制执行策略。

在当前 rc.2 实现里，它被加载成一条持久的 user role 消息。官方注入文本本身也写的是 “may be relevant / use them as guidance when applicable”，并明确不能覆盖 system、developer 或当前用户指令。因此要分开看四件事：

1. 是否发现：当前 Session 的 instruction baseline 里有没有预期文件路径；
2. 是否进入请求：有没有因为路径作用域、刷新或 65,536-byte budget 被遗漏；
3. 模型是否遵循：这是概率性的 instruction following；
4. 是否强制执行：这必须由模型之外的边界保证。

常见排查顺序：

• 确认 Session cwd 和最近的 .git 项目根；
• 确认文件名/大小，以及 baseline 中是否显示来源；
• 子目录 AGENTS.md 需要 first-party read / write / edit 到该目录后才会发现，单纯 Bash cd 不会触发；
• 外部修改没有 watcher，需要一次结构化文件操作、恢复 Session 或新建 Session 才刷新；
• 检查是否和更高优先级的 system/developer/当前用户指令冲突；
• 把“要注意安全”改成可观察的动作、边界、失败处理和停止条件。

如果违反规则会造成实际损失，不能只继续优化提示词。例如：

• 禁止写仓库外 → filesystem containment / sandbox；
• 未批准不得 push → approval gate + branch protection；
• 只能执行特定命令 → tool allowlist + 参数校验；
• 测试不过不能合并 → required CI checks；
• 不能读取或泄漏密钥 → credential isolation + egress policy。

也就是说，AGENTS.md 应该保留，用于帮助模型走正确路径；但真正不能违反的规则，还需要一个确定性的执行 owner。

我根据 rc.2 源码把完整的作用域、刷新、预算、可见但未遵循的诊断，以及 13 项验收检查整理在这里：
https://sandbaseai.github.io/deepseek-harness-handbook/deepseek-harness-agents-md.html