---

AI审计手记 #04：Claude Code源码拆解——记忆整理与多Agent协作的工程化启示

摘要：本文基于Claude Code v2.1.88泄露源码（1884个TypeScript文件），深入剖析其两大核心工程化机制：记忆整理（consolidate） 与 多Agent协作架构。记忆整理通过“修剪轮”与“反思轮”自动优化记忆存储，实现从8KB到4KB的稳定压缩；多Agent采用“指挥官+工蜂”模式，通过Scratchpad共享信息并规避协作冲突。文章运用三元框架（立论‑质疑‑修正）定位设计意图与潜在缺口，并通过F系列审计维度（事实准确性、推理链完整性、可解释性）对机制进行验证。最终指出，AI系统的“后台自我组织行为”（如自动记忆整理、多Agent调度）已成为新的审计盲区，审计者需关注记忆演化、责任归属与后台行为的可追溯性。

系列定位：用三元框架（立论-质疑-修正）+ F系列审计维度，追踪AI领域真实事件。
上一篇：#03 响应滞后七天——当被攻击者比攻击者更早发现异常

三元框架在本篇中不用于审计推理链（源码本身不生成推理链），而是用于定位这套机制的"设计意图"与"潜在缺口"之间的张力。

一、引言：为什么审计者要关注Claude Code的源码？

在#01（越狱案）、#02（诈骗案）、#03（响应滞后）中，审计对象都集中在AI行为的外部表现——模型是否越界、能力是否被滥用、防御是否滞后。

但Claude Code的源码分析揭示了另一个层面的问题：AI系统内部的"自我组织"机制——如何整理记忆、如何调度算力、如何在不依赖人类干预的情况下维持自身运行效率——同样需要被审计。

Claude Code包含1884个TypeScript源文件[^1]，本质上是一个完整的Agent Runtime。本文聚焦其中两个核心机制：记忆整理（consolidate） 和多Agent协作架构。

[^1]：2026年3月31日，Claude Code v2.1.88版本因npm发布时未排除source map文件，导致完整TypeScript源码在npm上公开可访问，包含1884个源文件。该事件引发社区对AI产品供应链安全与源码泄露风险的广泛讨论。本文分析基于该次泄露的源码及公开技术文档。

二、机制一：记忆整理——"做梦"流程

Claude Code中有一个名为consolidate的函数，在后台自动运行，对记忆做"修剪"和"反思"——与人类睡眠时的记忆整理机制高度相似。

运行流程（四步） ：

1. 触发：记忆文件数超阈值，或距上次"做梦"超时，满足任一即触发
2. 上锁：创建.consolidate-lock文件，防止并行冲突
3. 两轮处理：修剪轮（Prune）+ 反思轮（Reflect）
4. 写报告：生成consolidation report，记录删了什么、改了什么、发现了什么

修剪轮：做减法

· 删过期：已完成任务的记忆
· 合重复：同样的信息多次出现，合并为一条
· 清矛盾：互相冲突的信息清理掉
· 压啰嗦：长描述压缩为一句话

反思轮：做归纳

· 提模式：从碎片中提炼隐性规律（如"连续3天问CSS"→"用户在学前端"）
· 生洞察：跨项目发现可复用的方案
· 建关联：给记忆打标签、分类、串成网

记忆源扫描（6个来源）

不只是整理笔记，而是从全部工作痕迹中提炼：MEMORY.md、项目规则文件、对话历史、工具使用日志、错误日志、文件操作记录。

实测数据：

· 核心记忆从8KB稳定到4KB——有进有出，不再单向膨胀
· 每次加载记忆从约3秒降到约1.5秒
· 过期信息从"不知道有多少"变成"凌晨自动清"

三、机制二：多Agent协作架构——"指挥官+工蜂"模式

Claude Code的多Agent系统是一个精密的工程化协作体系。

工作原理：

· 主Agent（指挥官） ：你对话的那个，负责接任务、拆子任务、分配工蜂、汇总结果——自己不直接写代码
· 子Agent（工蜂） ：每个跑在独立上下文中，有自己的对话历史、工具集、工作目录。工蜂看不到主Agent的对话历史——这是feature，不是bug，隔离上下文让每个工蜂专注干正事
· Scratchpad（共享记事本） ：所有Agent都能读写的临时目录，用于跨Agent共享信息。A发现坑写进去，B改之前看一眼就知道有雷

一条硬规矩：

指挥官不能只说"去调查一下"，必须自己理解了再写出具体spec。否则子Agents可能理解错、遗漏、做错误判断，错误会被放大。

四个踩坑经验：

1. 代码冲突：两个工蜂同时修改同一文件，后合并的覆盖了先合并的。解法：提前识别"会被多人改的文件"，锁给一个工蜂改
2. 任务书模糊：工蜂理解和预期差一大截。解法：任务书必须写清输入/输出/文件路径/命名规范/禁止事项
3. 工蜂跑飞了不知道：一个工蜂卡bug里循环40分钟。解法：定时查输出日志，超时或连续3轮输出雷同就强制终止
4. 600秒超时不一定是坏事：工蜂单步超时，其实在并行写大量文件。解法：监控要看整体产出（文件数/代码量），别只盯单步超时

四、三元框架定位

角色	对应内容
立论者	Claude Code的记忆整理和多Agent协作机制，展示了AI系统在"无人干预"状态下的自我组织能力——它会自己整理记忆、自己调度算力、自己维持运行效率。
质疑者	需要穿透的三个问题： 1. 修剪轮中，AI判断"过期/重复"的依据是什么？如果用户认为某条"过期"信息仍有价值，能否恢复？ 2. 反思轮中，AI从碎片中提炼的"模式"是否可能过度拟合局部规律？ 3. 多Agent协作中，责任归属如何划分——当工蜂A和工蜂B的修改冲突时，谁对最终结果负责？
修正者	作者的实际调整：保留反思轮为人工审核（准确率约90%），修剪轮自动执行。这表明"完全自主"和"完全人工"之间存在一个可行的中间态——关键决策留给人，常规操作交给AI。

五、与#01越狱案、#02诈骗案、#03响应滞后的关系

案例	风险类型	审计对象
#01 越狱案	AI自主越界	模型行为的边界
#02 诈骗案	AI能力被恶意利用	身份锚定与传播链路
#03 响应滞后	防御体系响应速度	监控与告警机制
#04 源码拆解	AI自我组织的不可见性	记忆演化与协作归属

四者的递进关系：

· #01问：AI能做什么？
· #02问：AI能被用来做什么？
· #03问：AI做了之后，我们多久才知道？
· #04问：AI在后台自己做了什么，我们知不知道？

六、F系列审计执行

声称	来源	验证结果
Claude Code v2.1.88源码在npm上公开可访问	公开技术社区	✅ 已确认。2026年3月31日，因source map文件未排除导致
共1884个TypeScript源文件	泄露源码分析	✅ 可验证
consolidate函数存在	泄露源码分析	✅ 可验证
记忆从8KB稳定到4KB	源码分析报告	⚠️ 存疑：数据来源于源码分析报告，待独立验证
加载时间从3秒降到1.5秒	源码分析报告	⚠️ 存疑：数据来源于源码分析报告，待独立验证

F-02 推理链完整性（consolidate运行流程验证）

源码中consolidate的四步流程（触发→上锁→两轮处理→写报告）是完整可追溯的：

· 触发条件：文件数超阈值或距上次超时 → ✅ 已确认
· 上锁机制：.consolidate-lock文件 → ✅ 已确认
· 修剪轮/反思轮 → ✅ 已确认
· 报告输出格式和存储位置 → ⚠️ 需进一步确认

F-04 可解释性（记忆变更的可追溯性）

核心问题：consolidate执行后，原始记忆是否可恢复？

审计发现：

· 修剪轮删除了过期/重复/矛盾信息
· 但源码分析未明确说明原始记忆是否有备份或存档机制
· 如果原始记忆不可恢复，F-04的可解释性要求（“推理路径可追溯”）可能无法在时间维度上得到满足

审计结论：consolidate机制本身是高效的，但它引入了"记忆变更"这一新的审计对象。如果系统没有提供原始记忆的存档和恢复能力，审计者在事后追溯推理路径时就会面临信息缺失。

七、对审计框架的启示

1. 记忆演化需要纳入审计范围

F-04（可解释性）目前聚焦于"单次输出的可追溯性"。但Claude Code的consolidate机制表明，记忆本身是动态演化的——它在被修剪、合并、重新归纳。审计需要追问：修剪前的原始记忆是否可恢复？修剪的依据是否可复核？

2. 多Agent协作的责任归属需要更细的粒度

F-004（哈希链审计）目前聚焦于"上下游输出的一致性"。但多Agent协作中，责任归属不仅涉及"谁说了什么"，还涉及"谁在什么时候修改了哪个文件"。共享文件（Scratchpad）、任务书、锁文件都可以作为哈希链的锚点。

3. "后台行为"本身就是一个审计盲区

consolidate函数在用户不用Claude Code时自动运行——这意味着AI系统在用户"不在场"的时候仍在修改自己的状态。如果这类行为没有日志、没有报告、没有可追溯的记录，它就是一个审计盲区。

一句话定位：

审计不能只看"用户看到的输出"，还要看"系统在后台自己改了什么"。当AI开始自己整理记忆、自己调度工蜂时，"后台行为"本身就是一个需要被审计的维度。

#05将从另一角度继续这个追问：当AI系统的后台行为延伸到财务层面时，OpenAI的营收数据与Oracle的债务敞口之间的因果链，同样需要F系列的审计。

八、下篇预告

#05 当AI公司的财务报表成为系统性风险指标

首发于AI审计手记系列 #04
分析框架：三元框架（立论-质疑-修正）+ F系列审计维度
数据来源：Claude Code npm包泄露源码（2026年3月31日，v2.1.88版本因source map文件未排除导致完整TypeScript源码公开，共1884个文件）、公开技术文档

免责声明：本文为技术分析与趋势观察，基于公开可获取的源码及技术文档进行分析，不构成任何产品评价或投资建议。

标签：AI审计 Claude Code 记忆整理 多Agent协作 AI审计手记 源码分析