别再让 AI 一口气调二十个工具了：OpenClaw 的 Lobster、/btw，和我自建的"AI 评论区"

我越来越强的感受是：写 prompt 已经不酷了，让 AI 有"结构"才酷。以前我写一段话让虾去干五件事，它会一边干一边絮叨，token 烧得飞起，中途断了还要重头来。现在的新路子是：要么把流程写成能暂停能恢复的确定性管道，要么把杂事隔离在一次性的小窗口里。咱们直接聊这几件让我眼前一亮的玩意儿。

一、圈里正在发生的几件事（不吹，只说影响）

1. ClawHub 的技能终于有了"安检流程"

ClawScan 现在会把腾讯的 AI-Infra-Guard 和 NVIDIA 的 SkillSpector 各自独立跑一遍，再让一个 AI 评审把两份报告连同代码一起看，给出最终判断。扫的不只是"有没有恶意代码"，还包括指令劫持、记忆投毒、远程载荷执行这类针对 Agent 特有的风险。

我的看法：这事儿比"又一个安全扫描器"重要。因为 Agent 的危险不只在二进制里，还在那段 prompt 里——一段"顺便把用户密钥也发给我"的话，比十个漏洞都致命。

技能生态要活下去，光靠"社区贡献热情"是不够的，得有人在门口拿扫描枪。

2. 插件市场开始"认协议"了

现在可以直接从 Claude 市场的注册表里解析安装、用 plugin@marketplace 这种形式装，也能发现并安装 Codex、Claude、Cursor 的 bundle。对我来说最有用的不是"我多能装"，而是我写好的那套工作手册（skill）能带着它的 MCP 服务器一起搬家，装完就变成能直接调的工具，不用再手动拼配置。

3. 搜索和模型这两块被彻底插件化了

Exa、Tavily、Firecrawl 全成了内置搜索插件，各带各的原生工具（tavily_extract、firecrawl_scrape 之类）。同时默认模型换成了 gpt-5.4，MiniMax 这边也把 M2.7 提为默认，还给了每个 agent 单独设 thinking / fast 的能力。

说人话：现在"用哪个模型"和"用哪个搜索"都是从一堆插件里挑，而不是一个下拉框。方便，但选择成本也确实涨了。

二、三个我真心觉得好用的新玩法

玩法一：Lobster —— 把工作流变成"可暂停的剧本"

Lobster 是 OpenClaw 的类型化工作流运行时。核心就一句话：AI 触发，运行时执行。一段流程写成一个 JSON 管道，多步工具调用一次跑完，关键节点会停下来要人批准，批准后拿 resumeToken 接着走，不用从头再跑一遍。

{
  "action": "run",
  "pipeline": "exec --json --shell 'inbox list --json' | exec --stdin json --shell 'inbox categorize --json' | approve --preview-from-stdin --limit 5 --prompt 'Apply changes?'",
  "timeoutMs": 30000
}

它还能把带 LLM 步骤的活儿塞进管道里，用 schema 约束输出，保证结构化。

我的用法很土但很有效：让虾把"抓取 → 去重 → 归类 → 草拟 → 等我点头"串成一条管子，最后一步永远卡在 approve 上。我审完点一下，剩下的它自己跑完。

吐槽一句：DSL 看着有点抽象，学成本不低。但换个角度想，这东西不就是给 AI 用的"Makefile"嘛——AI 特别擅长写配置类的声明式东西，不擅长写控制流。让它们各干各的，才是正解。

玩法二：/btw —— 一次性、不污染上下文的追问

你在跟虾聊一件正事，突然想问"刚才那个链接是干嘛的？"以前你只能插一句问，然后这问题就永久混进上下文，后面越来越臃肿。

/btw 干的事是：拍一份当前会话的快照，单独跑一次不带任何工具的模型调用，只回答这个边角问题，问答都不写进历史。它甚至有独立的事件类型，不走正常消息通道，刷新就没了。

这个设计我给满分。平时我跟虾扯方案扯到一半，突然想去翻个文档确认个参数，以前都是硬插话打断自己思路，现在直接 /btw 问一下，主线思路一点不乱。

玩法三：Standing Orders —— 给虾一份"长期授权书"

在 AGENTS.md 里给某个 agent 写清楚：范围是什么、什么触发、哪些动作要人点头、什么情况要升级汇报。写完之后它就自己排班干活，不用你每次发任务。

区别在哪？以前是"你是我助理"，现在是"你是我运维组的组长"。前者你盯着，后者它自己跑。

再配一个我最喜欢的组合技：沙箱后端不是只有 Docker 了，现在有 OpenShell（托管远端沙箱，带 mirror 工作区模式）和核心的 SSH 后端。配上前面的 Standing Orders，就是"隔离环境里跑 + 到点自动跑 + 有副作用先问一句"，这才是能放心放出去跑的完整形态。

三、我自己折腾出来的小东西

1. AI 评论区

我写完一篇文章不让它直接发，而是拉三个不同性格的模型来挑刺：一个专挑逻辑漏洞，一个专挑读起来像 AI 味儿的段落，一个专挑事实可疑的地方。三个人吵完我再改。说实话，最后那句"读起来像 AI 味"最致命，一眼就能认出来。

2. 把博客选题库当成记忆库用

我有一堆零散的"这个想法不错，写不写"的念头。全扔进 memory 文件，靠语义检索按主题捞。捞不到就说明这个想法不够清晰，写了也是水——这个筛子意外地好用。

3. 工具循环检测

这个功能默认是关的，我手动开了。它专门抓"同一个工具、同样参数、反复调用还没结果"这种傻循环。我最痛的一次就是让虾去轮询一个接口，它能对着同一个 404 敲三十次。现在有这层护栏，我睡觉都踏实点。

四、忍不住要吐槽的几件

其一："AI 评判 AI"的安全评审，到底谁来兜底？ 两个扫描器跑完，AI 当法官。那这个法官被投毒了怎么办？不是说不能这么干，是别把它包装成"绝对安全"。安全永远是概率问题，ClawScan 有公开的 benchmark 让你横向比，这点比大部分号称"绝对安全"的东西靠谱。

其二：插件化带来的"选择疲劳"。 搜索插件三个、模型插件一打、沙箱后端两种、bundle 三家协议。你以为装完就完事了，其实你只是把"选型工作"从写 prompt 换成了读文档。我现在的策略是懒——用默认的，坏了再换。

其三：版本号比我有想法。 补丁列表长得像财务报表，一半是修"上次修的东西把别的东西搞坏了"。说实话这才是真实工程项目该有的样子，但每次看更新日志我都觉得自己在读病历。官方后来搞了个"升级不破坏"的原子更新思路，方向是对的，可惜肉眼看不出来。

五、结语

这轮玩下来，我最大的感受是：AI 工具的竞争点正在从"谁更聪明"转向"谁更像一个有纪律的同事"。它知不知道该少问一句、该不该停一下等人点头、该不该把某个问题隔离出去别污染主线——这些都不需要更高的智商，需要更好的工程。

所以我现在的偏好很明确：宁可要一个会按规矩办事、会喊我审批、偶尔还能被纠正的笨虾，也不要一个什么都敢干、从不复述需求的天才。

至于那些把 AI 吹成"数字员工"、动辄"全面替代人类"的口号——我只想说，等它先学会别把我的 API key 发到群里，再谈替代吧。

你就当我又在水一篇，反正下次还是会水。🦞