用途：Cordon 位于不可信文本与智能体据此执行的动作之间，作为确定性防护层。它以 Claude Code 插件形式发布，绑定四个 harness 事件：用户消息、工具调用、工具结果、答案展示。
环境要求：Node 22 或更新版本。无需密钥、令牌或网络访问，热路径上没有网络请求和模型调用。
安装： /plugin marketplace add ilyautov/cordon /plugin install cordon@cordon
无构建步骤，plugin/dist/cli.js 可直接运行。因为已安装插件旁没有 node_modules 和 package.json，带外部导入的文件会在首个事件时使 node 崩溃；而 harness 会把崩溃的钩子视为“通过”，防护会静默失效。
验证：/hooks 只回答“是否已注册”，不回答“是否有效”。cordon doctor 回答后者：读取生效策略，将内置攻击样本跑完整路径，并指出配置中的危险部分。插件路径含市场名与版本，每次更新都会变化，应询问 harness 而非硬编码。
自检：ok 表示隐藏层被剥离、证书外的调用被拒绝、证书内的调用放行。从未被调用的钩子，从外部看与无需触发的钩子完全相同。
已证实范围：接线在 Claude Code 2.1.236 实际会话中验证，四个事件均触发，证书拒绝、来源拒绝、页脚绘制、参数隔离均生效。Gemini CLI 适配器、MCP 网关与 LangChain 中间件尚未实机运行，安装指南见 docs/install-gemini.md、docs/install-mcp.md、docs/install-langchain.md。
代价与限制：数据轴的代价是摩擦——读取不可信内容后，有后果的调用会等待用户在消息中自行指明目标。在对抗测试的工作配置下，攻击成功率从 79% 降至 7%。该规则可通过策略中 exposure: false 关闭，关闭时 cordon doctor 会明确提示。
磁盘留存：策略在 ~/.cordon/policy.yaml，会话状态在 ~/.cordon/sessions/，草稿在 ~/.cordon/drafts/，决策日志位于 notify.file 指定路径。会话状态与草稿含来自不可信来源的内容，过期文件会自动删除。