把“清理 C 盘”交给 AI Agent，难点并不在于找出哪些文件占空间，而在于误删之后还能否恢复。掘金上一篇关于 pc-tuneup 的文章，展示了一个面向 Windows 体检调优的 Skill 设计：它不把安全寄托在提示词上，而是通过阶段机、隔离区、计划文件和显式确认，把 Agent 的清理动作限制在可回滚、可审计的范围内。
提示词管不住高危操作
作者日常会用 AI Agent 处理写代码、跑测试、整理文档等任务。这类任务失败通常可以回滚，例如代码改错可以通过 git checkout 恢复。但电脑清理不同：用户可能只说“C 盘满了”，背后可能涉及回收站、缓存、桌面堆了 800 个文件，或某个进程吃满内存。操作天然不可逆，影响面也大。
如果只给 Agent 一段“帮我清理临时文件”的提示词，风险很难控制。文章给出的结论是：提示词约束不住破坏性操作，只有代码能。因此，pc-tuneup 的第一条原则是：Agent 只负责编排命令，不负责执行动作。所有删除、移动、关闭进程都必须经过 Python 脚本，脚本再统一走隔离区并写入清单。
阶段机、隔离区和计划文件
该 Skill 把电脑体检调优拆成五类可控动作，并围绕三个不变量设计：能不动就不动；要动就搬走不删；搬走也要能搬回来。对应到流程上，工具要求先扫描后执行，禁止跳步，必须按 init → scan → plan → apply 进行；apply 前如果没有 plan 段，脚本会以退出码 1 拦下。默认执行也是预演，apply 不加 –yes 不会真正落地。删除磁盘垃圾不允许直接 Remove-Item，而是一律进入隔离区。
阶段状态会写入 .tmp-tune/tuneup-plan.json，下一阶段先校验上一阶段。错误不是只打印自然语言，而是输出机器可读的 code，例如 STAGE_ORDER，方便 Agent 判断是否能继续。文章提到，完整退出码只有三个值，用于让调用方明确识别流程状态。计划文件承载环境基线、扫描结果、动作清单、执行结果和还原值，使一轮体检可追踪、可还原。文章也承认，这种设计带来并发不安全的代价，但在本机单人使用场景下可以接受。
性能层面，工具刻意把所有扫描 block 拼成一个 PowerShell 脚本，输出单个 JSON。原因是部分 Windows 环境 PowerShell 冷启动需要 30~40 秒，如果每个模块单独调用，光启动时间就可能达到三分钟。对于中文路径，脚本不直接拼命令行，而是传 Base64 的 UTF-16LE，避免引号转义和 cp936 / UTF-8 编码不一致造成的乱码。
保护名单、隔离区和分级告知
在“哪些文件能动”这件事上，pc-tuneup 采用静态保护和运行期保护叠加。文档、桌面、下载、图片、系统目录、Program Files 在保护名单内；如果 Agent 正在一个 30GB 的 monorepo 里工作，工具还会在运行期把工作区本身及其父目录加入保护，避免 node_modules、dist、.cache 被误扫。路径判定采用“等于或位于其下”，而不是字符串模糊匹配，以避免 C:\Users\me\Desktop-old 被 Desktop 误伤。
- 隔离区不是简单换个目录放垃圾，而是支持反向还原；目标已存在时自动改名，不覆盖。
- 清理目录时只移走内容、保留目录本身，避免 %TEMP%、C:\Windows\Temp 等目录句柄被占用导致失败。
- 回收站是唯一允许“真删”的动作，但为避免上万文件同时删除造成 IO 峰值，默认按 200 个文件/批、批间停顿 200ms 处理，并设有下限保护。
- 缓存类目标只处理 180 天以上未修改的条目，占用中或近期写入的跳过，并回传 keptBytes。
- 桌面整理只在桌面内部移动文件到子目录，不跨盘、不删除；桌面文件只允许 desktop 模块处理。
- 进程模块默认不勾选，必须显式指定 PID，并遵循先优雅后强制的顺序。
文章还强调可逆性需要分级告知。用户看到的不是笼统的“可以恢复”，而是“垃圾可还原”“回收站不可恢复”这类明确提示，这样才能做出正确勾选决策。工具还明确列出只有两个不可逆动作，并在回执中分级提示。对于不推荐清理的项目，例如 prefetch 和 cbs-logs，默认直接关闭，而不是只写警告。
对 Agent 工具开发的参考意义
这类设计的价值不止于清理电脑。随着 AI Agent 从写代码扩展到执行系统操作，真正需要工程化的是副作用边界：模型可以提出计划，但不能直接拥有删除权；执行必须经过阶段校验、显式确认和可回滚机制；风险动作要按可逆程度分级，并把不可逆部分明确告诉用户。
pc-tuneup 给出的路径比较克制：没有框架和第三方依赖，主要依靠 Python 标准库和 PowerShell 5.1，用脚本、协议、规则文件和状态文件组成约束。对于正在开发有副作用 Agent 工具的团队来说，它提示了一个现实原则：安全不是模型自觉，而是代码层把错误动作挡在执行之前，并给每一次移动留下还原路径。
原创文章，作者：点点，如若转载，请注明出处：https://www.dian8dian.com/ai-dai-qing-li-dian-nao-ru-he-bi-mian-wu-shan-windows-diao
