Spotlight：AI 编码 Agent 会话监控实战指南
Claude Code 和 Codex CLI 等 AI 编码 Agent 正在改变我们的开发方式，但它们的工作过程一直是个”黑箱”。Agent 跑了 47 分钟，到底做了什么？有没有访问不该访问的文件？有没有写入敏感信息？是不是在某一步卡了 15 分钟？
上周，一位开发者发现自己的 Claude Code 误删了根目录文件——如果在执行完后能有一份”审计报告”自动告诉你这次会话的问题，这类灾难完全可以避免。这就是 Spotlight（Backplanes） 要解决的问题。
什么是 Spotlight？
Spotlight 是一个 AI Agent 会话监控工具，由 Backplanes 团队开发。它会在 Claude Code 或 Codex CLI 会话结束后，自动生成一份完整的会话报告——包括安全审计、工程回顾和成本分析三大维度。
核心设计理念是：不要靠 dashboard 轮询，报告主动送到你面前。
安装只需要一行命令：
curl -fsSL https://www.backplanes.com/spotlight/install.sh | sh
支持 macOS、Linux 和 WSL 2，安装后在浏览器中认证一次，就会自动开始捕获会话。
会话报告：One Page 看清一切
报告格式设计为”一分钟从上读到下”——开头的 verdict 告诉你是否值得关注，后面的 receipts 展示具体细节。
安全视图：检测 Agent 是否将 API key 写入磁盘、读取了项目范围外的文件、在 commit message 中暴露了 PII。每条发现都附带”如何处理”的建议。
工程视图：每小时的会话时间被自动归类——编码、Shell 操作、研究——长会话不再是一团迷雾。
费用视图：按团队和工具维度展示 AI 容量消耗，帮助理解 ROI。
三大核心功能
1. 安全扫描（Security Scanning）
Spotlight 最直观的价值在于安全。它会在每个会话结束后自动扫描以下内容：
- 写入磁盘的 API key 和凭据
- 项目范围之外的文件读取
- commit message 中的 PII
- MCP 服务和外域访问
所有敏感信息在离开你的机器之前，先在本地通过 vendored gitleaks 规则做第一轮脱敏，PII 做第二轮处理。上传到服务器后还会再做一次服务端脱敏，然后按字段加密存储。
加密使用 per-customer key + per-session key + per-event key 三级密钥体系，确保即使服务器被攻破，原始数据也无法还原。
2. 时间分类（Time Classification）
这是另一个容易被忽略但实际价值很高的功能。一个 51 小时的运行不意味着 51 小时的进度。
Spotlight 会自动将每一分钟归类为编码、Shell 操作或研究，然后标记出那些你可能想要”回收”的时间——比如因为 orphan 守护进程浪费的 15 分钟。
3. 团队看板（Team Dashboard）
对于团队用户，Spotlight 提供了组织级视图：每个成员的使用量、每种工具的花费、每个 session 的 ROI。你可以看到团队的 AI 容量正在被谁消耗、花在哪里、有什么优化空间。
隐私设计
Spotlight 的隐私模型值得一提：
- 只读取 Claude Code 和 Codex CLI 会话——不读取其他 repo、终端、邮箱、浏览器或日历
- 本地脱敏优先：敏感信息在你机器上被剥离后，才上传已经脱敏的数据
- 不上传原始会话文件——只上传分析后的报告元数据
- PII 检测规则可配置，你可以自定义哪些内容被视为敏感
本地脱敏日志可以在 Spotlight CLI 的输出中找到，确认哪些内容被剥离、哪些内容被上传。
与 AgentGraphed 的区别
同样是会话分析工具，Spotlight 和 AgentGraphed 有本质的不同：
| 维度 | Spotlight | AgentGraphed |
|---|---|---|
| 部署方式 | SaaS（云端） | 本地（npx 安装） |
| 核心价值 | 安全审计 + 成本监控 | 会话可视化 + 搜索恢复 |
| 数据存储 | 加密后云端存储 | 本地 JSONL |
| 安全扫描 | 内置 gitleaks + PII 检测 | 无 |
| 团队功能 | 组织级 Dashboard | 无 |
| 费用追踪 | 按团队/工具维度 | 项目级费用统计 |
两者适合不同场景：有安全合规需求的团队优先 Spotlight，个人开发者快速回顾选择 AgentGraphed。
实际使用场景
场景一：团队 AI 编码合规审查
部署 Spotlight 后，每次 Agent 会话结束自动触发安全扫描。合规团队可以通过 Dashboard 查看所有 session 的安全状态，不必逐个检阅会话日志。
场景二：复杂任务中断恢复
当你从一个 2 小时的 Agent 会话回来后，Spotlight 的报告让你 1 分钟就能了解 Agent 做了什么、卡在了哪里、有哪些潜在风险。
场景三：AI 容量预算管理
团队设置月度 AI API 预算后，通过 Spotlight 的费用视图可以实时看到谁在消耗预算、哪些 task 的成本效益最高。
总结
Spotlight 解决了一个真实且普遍的问题：AI 编码 Agent 的工作过程透明化。它不是又一个”更好”的 AI 编码工具，而是一个让你理解 AI 编码工具在做什么的工具。
对于个人开发者，1 分钟的会话报告意味着每次回来都能快速接上进度。对于团队，安全扫描和费用追踪意味着 AI 编码不再是”失控的黑箱”。
免费版本已支持个人和团队使用。安装后跑一个 session，就能看到你的第一份 Spotlight 报告。