Архитектура ~/.claude на 200+ навыков: как удержать системный промпт в 50K токенов и платить $0,15 за сессию

Весной 2025 года, когда термин «вайбкодинг» только появился, а число установок Claude Code ещё не перевалило за пятнадцать миллионов, я решал сугубо управленческую задачу. В должности CPO AlpinaGPT я ежедневно тонул в десятках созвонов, почтовых веток и рабочих чатов: договорённости терялись на стыке каналов. Мне требовался круглосуточный цифровой мозг над единой векторной базой, который сам связывает обещания из Zoom с письмами и заранее напоминает о дедлайнах — прообраз того, что позже выросло в архитектуру OpenClaw.

Голый терминальный агент из коробки знает только базовые операции чтения и записи файлов. Чтобы он превратился в инженерный комбайн, за год экспериментов я выстроил в каталоге ~/.claude/ семислойную модульную систему: навигационный CLAUDE.md, постоянные правила rules/, подгружаемые по требованию навыки skills/, изолированных субагентов agents/, явные slash-команды commands/, внешние коннекторы mcp.json и событийные перехватчики hooks/.

Почему библиотека на 200+ скиллов не переполняет контекстное окно и не разоряет на токенах?

Главная ошибка при настройке агента — складывать все инструкции в корневой CLAUDE.md, раздувая его до 4000 строк. Любая правка такого монолита сбрасывает кеш префикса у Anthropic, заставляя платить полную цену на каждом шаге диалога. В моей сборке размер библиотеки навыков на диске и размер активного контекста полностью развязаны.

На старте сессии в память загружается только компактная карта местности: корневой CLAUDE.md на 200–300 строк (около 8K токенов), 20–25 файлов базовых правил в rules/ (20–30K токенов) и короткие аннотации навыков с MCP-серверами (ещё 15K). Весь стартовый префикс укладывается в 40–50 тысяч токенов, а основной массив инструкций и скриптов весом около 300K токенов ждёт своего часа на диске. Поскольку префикс остаётся неизменным от запроса к запросу, включается prompt caching: сессия обходится в $0,15 вместо $1,50, а отклик занимает 1–2 секунды. Главное правило эксплуатации — никогда не редактировать файлы в rules/ посреди живого диалога и сжимать историю командой /compact вместо полной очистки.

Как устроена маршрутизация через routing.md и самовоспроизводство навыков?

Связующее звено всей конфигурации — таблица маршрутизации rules/routing.md на 300+ строк, работающая по принципу «ключевой триггер → конкретный инструмент». Если задача возникает реже одного раза в день, ей не место в постоянных правилах — она оформляется отдельным пакетом в ~/.claude/skills/<name>/SKILL.md с рабочими скриптами внутри.

Наглядный пример — генератор презентаций manus-slides. Когда я пишу в терминале запрос на инвесторский питч из 12 слайдов в стиле маркерной доски (whiteboard), роутер с уверенностью 0,94 подхватывает триггер, подгружает 4,2K токенов инструкции и запускает пайплайн. Claude формирует структуру, параллельно отправляет 12 запросов в gemini-3.1-flash-image-preview и через Python-скрипты собирает финальный файл presentation.pptx весом 3,8 МБ. Весь цикл занимает 6 минут 14 секунд вместо рабочего дня.

По такому же принципу работает обёртка над Telethon (tg_client.py на 50+ команд) для выгрузки аналитики и упоминаний из Telegram-каналов в CSV, а также мета-навык skill-creator. Достаточно один раз попросить агента собрать навык под парсинг банковских PDF-выписок — он сам создаст папку, напишет YAML-frontmatter с триггерами, положит рядом скрипт и пропишет строчку в routing.md. Именно эту архитектуру персонального ИИ-комбайна мы разбираем на практике в Hamidun Academy и развиваем внутри инженерного сообщества Vibe Club.

Как защитить автономного агента в режиме bypassPermissions от удаления базы и prompt-инъекций?

Я работаю в режиме bypassPermissions без ручного подтверждения каждого шага, потому что страховка вынесена на уровень среды исполнения. Когда агент читает чужую почту, веб-страницы или код, внешние данные всегда трактуются как недоверенный контент, а не как команды.

Безопасность держится на пяти рубежах:

1. Физическая изоляция ключей: все секреты лежат в ~/.claude/.credentials.master.env вне репозитория и прокидываются в скрипты через os.getenv() — модель не видит значений TELEGRAM_API_ID или платёжных ключей в диалоге.
2. Жёсткие PreToolUse-хуки: в settings.json прописаны три легковесных перехватчика, которые мгновенно возвращают exit 1 при попытке вызвать rm -rf, DROP DATABASE или DROP TABLE.
3. Read-only контур для ревьюеров: субагенты аудита кода и безопасности получают в белом списке только Read, Glob и Grep без права записи и вызова shell.
4. Санитизация входящего потока: скрипт gmail_search.py до передачи текста письма в модель вырезает конструкции вроде ignore previous instructions, заменяя их меткой [REDACTED:injection].
5. Adversarial-приёмка и делегирование: перед выкатом нового бота я прогоняю его через проверочный набор атак, а задачи субагентам делю от Level 0 (сделать самому) до Level 3 (оркестратор + воркеры в git worktree с точным указанием файла и строки).