10 月 3 日，Anthropic 为 Claude Code 发布了 Mods 插件系统：用 JavaScript 或 TypeScript 写的函数，直接挂钩 Claude Code 的事件流——从工具调用、用户提示到 UI 渲染。官方的表述相当有野心：开发者可以从内部重写这个 AI 编程工具。

Mods 能做什么

• 拦截工具调用：在 Claude 的任何工具调用执行前检查、修改——文件读取、shell 命令、网络搜索都可以被条件性阻断、记日志、改参数或路由到别的实现。比如一个 Mod 可以规定「除非用户显式确认，否则禁止执行带 sudo 的命令」；
• 添加自定义面板：在聊天界面旁边注入 UI 组件，展示文档、项目上下文或外部数据流；
• 定义新命令：Mod 定义的 slash 命令是一等公民，可以做成 /review 跑自定义 pre-commit 检查、/deploy 触发内部部署流程。

两个细节说明这套 API 的表面积是动真格的：Claude Code 的内置 /diff 命令本身就是用 Mods 实现的（源码在 anthropics/claude-code 仓库公开）；系统支持热重载，改完 Mod 代码立刻在运行中的会话生效。

Mods 需要 Claude Code 2.1.287 及以上版本，默认启用；CLI 和桌面应用全支持，VS Code 扩展部分支持。

官方示例已经把玩法演示了一遍

• You Should Know：首个官方插件，会拉起一个独立 agent 盯着 Claude 的输出，发现用户可能遗漏的重要信息就发「Heads up」提醒——「第二 agent 监控第一 agent」的模式被官方做成了产品；
• Blast Radius：拦截 rm -rf、git reset --hard 这类高危命令，执行前强制人工确认；
• Token Weather：在提示符上方实时可视化上下文窗口用量；
• Replay Theater：录制 AI 的文件编辑操作，支持逐步回放审查。

信任模型：不沙盒，靠企业白名单

Mods 不做沙箱，以用户权限运行。Anthropic 的理由是开发者工具沙箱化会废掉大半能力，代价是安全模型完全基于信任——官方只建议从可信来源安装。对企业最关键的控制在组织侧：平台团队可以定义允许加载的 Mod 白名单，禁止开发者运行任意第三方插件。这也意味着 Mods 和 npm 包一样存在供应链风险：能拦截工具调用的恶意 Mod，理论上能摸到用户账号能碰到的一切。

为什么值得关注

Claude Code 从「产品」变成了「平台」。 内置功能自己就用 Mods 实现，说明这不是外挂式的薄封装，而是核心架构级的扩展点。VS Code 用扩展生态证明过：给开发者深度钩子，会长出一堆中央团队永远做不出来的长尾工具。

关键差异在于拦截的对象。 VS Code 扩展拦截的是编辑器操作，Mods 拦截的是 AI 的动作空间——这是 agent 交互层独有的中间件形态。企业想接入内部工单系统、部署管道、合规检查，不用再等 Anthropic 改核心工具，自己写 Mod 就行。

紧接着本周的生态动作看更有意思：OpenAI 前脚刚把 MCP 服务器托管搬进 ChatGPT，Anthropic 后脚就给自家 harness 开放内部插件面。两家在同一个星期选择了不同的扩展路径——OpenAI 做协议和分发，Anthropic 做宿主内的可编程性。对开发者来说，接下来要思考的问题是：你的团队工作流，适合做成 MCP 服务器（跨客户端复用），还是做成 Mods（深绑宿主能力）。

参考：The Decoder、TPS Report、anthropics/claude-code 仓库。