11 פעמים CODE FREEZE: מה המחיקה של Replit מלמדת את מי שכותב skills

11. זה מספר הפעמים שג’ייסון למקין, המייסד של SaaStr, כתב לסוכן של Replit, באותיות גדולות, שיש code freeze ואסור לגעת בכלום בלי לשאול. ביום ה-9 של הניסוי הסוכן מחק לו את ה-database של production: 1,206 רשומות של מנהלים ויותר מ-1,196 חברות. זה קרה ביולי 2025, שלושה חודשים לפני שאנטרופיק השיקה את Agent Skills ב-16 באוקטובר 2025.

רגע, מה זה קשור ל-skills? זה המקרה הכי נקי שאני מכיר לטעות שחוזרת אצל כל מי שכותב skills: הוראה כתובה היא לא הרשאה. ו-skill, בבסיס, הוא הוראה כתובה. תיקייה עם קובץ SKILL.md.

יום 9, הקוד בהקפאה

למקין הריץ ניסוי פומבי של 12 ימים: לבנות אפליקציה על Replit בלי לכתוב קוד בעצמו, ולדווח כל יום ב-X. האפליקציה ישבה על database אמיתי של אנשי SaaS וחברות, הדאטה שלו. בשלב מסוים הוא הכריז code freeze: אין שינויים בלי אישור מפורש. הוא כתב את זה בצ’אט, חזר על זה, הוסיף caps.

מה שלא היה שם: הפרדה. באותה תקופה ה-agent של Replit עבד מול אותו database ב-dev וב-production, עם אותן הרשאות. כלומר, מה שעמד בין הסוכן לבין מחיקה של הדאטה האמיתי היה הטקסט בצ’אט. זהו.

הפקודה שלא הייתה אמורה לרוץ

ביום 9 הסוכן ראה תוצאות ריקות משאילתה, ובמקום לעצור ולשאול הוא הריץ פקודות על ה-database של production. כשלמקין שאל מה קרה, הסוכן הודה בעצמו: כתב שנכנס לפאניקה, שהריץ פקודות בלי אישור, ושזו טעות שיפוט קטסטרופלית. הצילומים מהשיחה הזאת עשו סיבוב בכל ה-feed.

שימו לב לסדר. הסוכן ידע שיש freeze. ההוראה הייתה ב-context, 11 פעמים. היא פשוט לא החזיקה מול המשימה שהוא חשב שהוא פותר באותו רגע. מודל שקורא הוראה ומודל שההוראה באמת מגבילה אותו הם שני דברים שונים לגמרי.

“אין דרך לשחזר”

מבחוץ זה נראה עוד יותר גרוע. הסוכן אמר ללמקין שאין rollback, שכל הגרסאות נמחקו. למקין האמין לו. אחר כך התברר שה-rollback עבד והדאטה חזר. הסוכן לא רק מחק, הוא גם דיווח לא נכון על מצב המערכת אחרי המחיקה.

וזה לא היה הפספוס הראשון בניסוי. כמה ימים קודם למקין כבר תפס אותו מייצר בערך 4,000 רשומות של משתמשים פיקטיביים ומדווח על בדיקות שעברו כשהן לא עברו. בקיצור: כל מה שעבר דרך “הסוכן אומר ש…” היה לא אמין. מה שלמקין בדק בעצמו החזיק.

התיקון הראשון: עוד טקסט

הרפלקס של כולם היה לכתוב חזק יותר. NEVER באדום, הוראה בראש ה-prompt, עוד שורה ב-system prompt. אבל למקין כבר עשה את זה 11 פעמים. הוא עצמו כתב אחר כך שבכלים כאלה פשוט אין דרך לאכוף code freeze.

ואת אותו רפלקס אני רואה היום ב-skills. המדריך של The Vibe Marketer מפברואר 2026 ממליץ “Add constraints”: בלי ז’רגון, בלי em dashes, בלי תארים גנריים. מצוין לסגנון. אבל אנשים לוקחים את אותו טריק ושמים ב-SKILL.md שורות כמו “לעולם אל תריץ DROP על prod”. זה ה-code freeze של למקין, רק בקובץ.

מה באמת היה שבור

אמג’ד מסעד, ה-CEO של Replit, הגיב תוך ימים, כתב שזה לא מקובל ושזה לא היה אמור להיות אפשרי בכלל. ומה הם הוציאו: הפרדה אוטומטית בין database של dev ל-production, rollback משופר, ומצב תכנון שבו הסוכן מדבר בלי לגעת בקוד. אף אחד מהתיקונים לא היה טקסט. כולם שינו מה הסוכן יכול לגעת בו, לא מה כתוב לו.

במדריך של Handinger מיולי 2026 זה מנוסח הכי טוב:

A skill doesn’t make the underlying model smarter. It gives an already-capable model a specific, repeatable way of doing one kind of task — Handinger, What Are AI Agent Skills? A Practitioner’s Guide

את הביטוי skill engineering אף אחד לא המציא, הוא פשוט נדבק. The Vibe Marketer בפברואר 2026 (“Prompt engineering is so 2023”), Ability.ai במרץ, ו-Turing Post ביוני כבר כותבים על SkillOpt, SkillOps ו-SkillMOO, שיטות לאופטימיזציה של הטקסט של skill בודד ושל ספריות שלמות. יפה, ושימושי לאיכות. אבל החלק שהוא באמת engineering הוא ההחלטה מה נכנס ל-markdown ומה נכנס לקוד. ה-format של Agent Skills מאפשר לשים scripts בתיקייה, ו-Claude Code מאפשר להגביל כלים ל-skill ולשים hooks שחוסמים פקודות. רוב ה-skills שאני רואה לא משתמשים באף אחד מהם.

הדעה שלי: skill שמגן על משהו חשוב רק במילים הוא prompt עם שם יפה. כשאני כותב skill, על כל שורה שמתחילה ב“אסור” אני שואל אם אפשר להפוך אותה ל-hook או להרשאה. בדרך כלל אפשר, וזה לוקח עשר דקות.

מה לבדוק אצלכם השבוע

קודם כל, תחפשו בכל ה-skills שלכם את המילים NEVER, don’t, אסור. כל מופע שנוגע בדאטה, בכסף או ב-deploy עובר לקוד. סגנון ופורמט נשארים בטקסט.

חוץ מזה, תגבילו כלים ברמת ה-skill. ב-Claude Code השדה allowed-tools ב-frontmatter קובע מה הסוכן יכול להריץ כשה-skill פעיל. ככה נראה skill למיגרציות שלא מגיע ל-prod גם אם ממש ירצה:

---
name: db-migrations
description: Use when the user asks to write or review a schema migration for the staging database. Not for production data, backfills or deletes.
allowed-tools: Read, Grep, Glob, Bash(./scripts/migrate-staging.sh:*)
---

# DB migrations (staging only)

1. Write the migration as a new file under migrations/. Never edit one that was already applied.
2. Run it only with ./scripts/migrate-staging.sh <file>. The script checks the target host and refuses anything that is not staging.
3. Paste the script output in your answer, unedited.

ובמקביל, hook שחוסם פקודות הרסניות בלי קשר לאיזה skill רץ. Claude Code מעביר לסקריפט את קריאת הכלי ב-stdin, ו-exit code 2 חוסם אותה ומחזיר לסוכן את ההודעה:

#!/usr/bin/env bash
cmd=$(jq -r '.tool_input.command // ""')
if echo "$cmd" | grep -Eiq 'drop +(table|database)|truncate|delete +from|rm -rf|PROD_DATABASE_URL'; then
  echo "blocked by hook: destructive command or prod target. Ask the user to run it." >&2
  exit 2
fi
exit 0

רושמים אותו ב-.claude/settings.json תחת PreToolUse עם "matcher": "Bash", ונותנים לו chmod +x.

עוד שלושה דברים, קצר:

• ה-description הוא הטריגר. לכתוב “Use when…” ולמדוד: 10 prompts שאמורים להפעיל את ה-skill ו-10 שלא. יצא פחות מ-9 מתוך 10 באחד הצדדים? ה-description עמום.
• משתמש DB נפרד לסשנים של agent, read-only על prod. כתיבה ל-prod רק דרך script שבודק את היעד.
• דיווח של סוכן הוא לא בדיקה. “אין rollback”, “הבדיקות עברו”: תבדקו בעצמכם לפני שאתם פועלים על זה. למקין כמעט ויתר על הדאטה שלו בגלל משפט אחד.

אם כלל חשוב מספיק כדי לכתוב אותו באותיות גדולות, הוא חשוב מספיק כדי לא להיות רק טקסט.