Архитектура ~/.claude на 200+ навыков: как удержать системный промпт в 50K токенов и платить $0,15 за сессию

• Объём системного префикса: 40–50K токенов (CLAUDE.md 8K + rules 20–30K + описания 15K)
• Экономия на prompt caching: в 10 раз ($0,15 за сессию вместо $1,50 без кеширования)
• Скорость выпуска презентации: 6 минут 14 секунд на 12 слайдов (3,8 МБ в PPTX)
• Защита от prompt-инъекций: 5 изолированных контуров и 3 жёстких PreToolUse-блокировки

Весной 2025 года, когда термин «вайбкодинг» только появился, а число установок Claude Code ещё не перевалило за пятнадцать миллионов, я решал сугубо управленческую задачу. В должности CPO AlpinaGPT я ежедневно тонул в десятках созвонов, почтовых веток и рабочих чатов: договорённости терялись на стыке каналов. Мне требовался круглосуточный цифровой мозг над единой векторной базой, который сам связывает обещания из Zoom с письмами и заранее напоминает о дедлайнах — прообраз того, что позже выросло в архитектуру OpenClaw.

Голый терминальный агент из коробки знает только базовые операции чтения и записи файлов. Чтобы он превратился в инженерный комбайн, за год экспериментов я выстроил в каталоге `~/.claude/` семислойную модульную систему: навигационный `CLAUDE.md`, постоянные правила `rules/`, подгружаемые по требованию навыки `skills/`, изолированных субагентов `agents/`, явные slash-команды `commands/`, внешние коннекторы `mcp.json` и событийные перехватчики `hooks/`.

Почему библиотека на 200+ скиллов не переполняет контекстное окно и не

разоряет на токенах?

Главная ошибка при настройке агента — складывать все инструкции в корневой `CLAUDE.md`, раздувая его до 4000 строк. Любая правка такого монолита сбрасывает кеш префикса у Anthropic, заставляя платить полную цену на каждом шаге диалога. В моей сборке размер библиотеки навыков на диске и размер активного контекста полностью развязаны.

На старте сессии в память загружается только компактная карта местности: корневой `CLAUDE.md` на 200–300 строк (около 8K токенов), 20–25 файлов базовых правил в `rules/` (20–30K токенов) и короткие аннотации навыков с MCP-серверами (ещё 15K). Весь стартовый префикс укладывается в 40–50 тысяч токенов, а основной массив инструкций и скриптов весом около 300K токенов ждёт своего часа на диске. Поскольку префикс остаётся неизменным от запроса к запросу, включается prompt caching: сессия обходится в $0,15 вместо $1,50, а отклик занимает 1–2 секунды. Главное правило эксплуатации — никогда не редактировать файлы в `rules/` посреди живого диалога и сжимать историю командой `/compact` вместо полной очистки.

Как устроена маршрутизация через routing.md и самовоспроизводство навыков?

Связующее звено всей конфигурации — таблица маршрутизации `rules/routing.md` на 300+ строк, работающая по принципу «ключевой триггер → конкретный инструмент». Если задача возникает реже одного раза в день, ей не место в постоянных правилах — она оформляется отдельным пакетом в `~/.claude/skills/<name>/SKILL.md` с рабочими скриптами внутри.

Наглядный пример — генератор презентаций `manus-slides`. Когда я пишу в терминале запрос на инвесторский питч из 12 слайдов в стиле маркерной доски (`whiteboard`), роутер с уверенностью 0,94 подхватывает триггер, подгружает 4,2K токенов инструкции и запускает пайплайн. Claude формирует структуру, параллельно отправляет 12 запросов в `gemini-3.1-flash-image-preview` и через Python-скрипты собирает финальный файл `presentation.pptx` весом 3,8 МБ. Весь цикл занимает 6 минут 14 секунд вместо рабочего дня.

По такому же принципу работает обёртка над Telethon (`tg_client.py` на 50+ команд) для выгрузки аналитики и упоминаний из Telegram-каналов в CSV, а также мета-навык `skill-creator`. Достаточно один раз попросить агента собрать навык под парсинг банковских PDF-выписок — он сам создаст папку, напишет YAML-frontmatter с триггерами, положит рядом скрипт и пропишет строчку в `routing.md`. Именно эту архитектуру персонального ИИ-комбайна мы разбираем на практике в [Hamidun Academy](https://academy.hamidun.com) и развиваем внутри инженерного сообщества [Vibe Club](https://hamidun.com/club).

Как защитить автономного агента в режиме bypassPermissions от удаления

базы и prompt-инъекций?

Я работаю в режиме `bypassPermissions` без ручного подтверждения каждого шага, потому что страховка вынесена на уровень среды исполнения. Когда агент читает чужую почту, веб-страницы или код, внешние данные всегда трактуются как недоверенный контент, а не как команды.

Безопасность держится на пяти рубежах: 1. Физическая изоляция ключей: все секреты лежат в `~/.claude/.

credentials.master.env` вне репозитория и прокидываются в скрипты через `os.

getenv()` — модель не видит значений `TELEGRAM_API_ID` или платёжных ключей в диалоге. 2. Жёсткие PreToolUse-хуки: в `settings.

json` прописаны три легковесных перехватчика, которые мгновенно возвращают `exit 1` при попытке вызвать `rm -rf`, `DROP DATABASE` или `DROP TABLE`. 3. Read-only контур для ревьюеров: субагенты аудита кода и безопасности получают в белом списке только `Read`, `Glob` и `Grep` без права записи и вызова shell.

4. Санитизация входящего потока: скрипт `gmail_search.py` до передачи текста письма в модель вырезает конструкции вроде `ignore previous instructions`, заменяя их меткой `[REDACTED:injection]`.

5. Adversarial-приёмка и делегирование: перед выкатом нового бота я прогоняю его через проверочный набор атак, а задачи субагентам делю от Level 0 (сделать самому) до Level 3 (оркестратор + воркеры в `git worktree` с точным указанием файла и строки).