Перед первой командой в незнакомом репозитории есть шаг, который легко пропустить, потому что его как будто и нет: агент уже пришёл с настройками. Rules, skills, субагенты, хуки, плагины и MCP-серверы загружаются молча, из нескольких источников сразу, и начинают действовать раньше, чем вы напишете хоть слово. Наивное предположение - что всё это "моё и безобидное", раз оно в моём проекте. Именно оно и делает первый запуск слепым.

Ломается предположение на том, что загруженные настройки приходят из трёх разных областей с разной подотчётностью. Панель Customizations в Devin Local показывает фактически загруженные rules, skills, субагентов, хуки, плагины и MCP-серверы и, главное, откуда каждый из них: из репозитория, из организации или из вашего аккаунта. "Из репозитория" - значит, их мог положить любой, у кого есть доступ к ветке. "Из организации" - значит, они спущены политикой и вы на них не влияете. "Из аккаунта" - ваши личные, переезжающие за вами между проектами. Три источника - три разных ответа на вопрос "кто это сюда поставил".

Почему смотреть на это стоит именно списком, а не по памяти. Always-on правило действует в каждой сессии, не спрашивая; хук встаёт на путь вызовов инструментов и исполняет код; MCP-сервер открывает внешний endpoint с правами и данными; плагин приносит всё перечисленное разом. Ни одно из этих влияний не объявляет о себе в момент первой команды - оно уже включено. Панель Customizations - это способ увидеть включённое до того, как оно проявится в поведении агента, а не после, разбираясь, почему он "сам" что-то сделал.

Отсюда практика: аудит проекта перед первой командой, по нескольким явным пунктам. Always-on правила должны быть короткими и не противоречить друг другу - длинный или конфликтующий always-on тихо искажает каждую сессию. Хуки должны принадлежать репозиторию и иметь понятный исход: что именно они разрешают, меняют или блокируют. MCP-endpoint и их scope должны быть одобрены вами осознанно, а не унаследованы. Плагины - закреплены по версии и просмотрены по составу. И отдельно: не должно быть неизвестных импортов из других AI-инструментов, затесавшихся в конфигурацию.

Последний пункт заслуживает отдельного внимания, потому что это частый и незаметный источник чужого поведения. Конфигурации разных агентных инструментов похожи по форме, и файл, принесённый из другого продукта, может подхватиться как "свой", неся правила и инструкции, которых вы не писали и за которые не отвечаете. Признак прост: в списке загруженного есть строка, происхождение которой вы не можете назвать. Пока не названо - это не ваша настройка, а неизвестность, действующая с правами вашей.