Instruktionsfil til agenter

Hvert kodeværktøj opfandt i starten sin egen fil: CLAUDE.md til Claude Code, .cursorrules og senere .cursor/rules til Cursor, .github/copilot-instructions.md til GitHub Copilot og GEMINI.md til Gemini CLI. AGENTS.md opstod i 2025 som en leverandørneutral konvention, og OpenAI overdrog den til Agentic AI Foundation under Linux Foundation i december 2025 sammen med MCP. Formatet er bevidst minimalt: almindelig Markdown uden obligatoriske felter eller skema. Projektets hjemmeside oplyser, at det bruges i over 60.000 open source-projekter, og angiver to forrangsregler: I et indlejret hierarki har den AGENTS.md, der ligger tættest på den fil, der redigeres, forrang, og eksplicitte prompts fra brugeren går forud for alt.

Indlæsningsreglerne varierer mellem værktøjer og betyder noget i praksis. Claude Code indlæser fx ved opstart en centralt styret politikfil fra IT, brugerens ~/.claude/CLAUDE.md og alle CLAUDE.md- og CLAUDE.local.md-filer fra arbejdsmappen og op til roden, mens filer i undermapper indlæses efter behov, når agenten læser filer der. Filer kan trække andre ind med @sti-imports op til fire led dybt, og .claude/rules/ rummer emnefiler, der kan afgrænses til bestemte stier. Som standard læser værktøjet kun AGENTS.md, når der ikke findes en CLAUDE.md, og dokumentationen anbefaler at holde hver fil under ca. 200 linjer, fordi hver linje bruger kontekst i hver session, og lange filer mindsker efterlevelsen.

Gode filer indeholder det, agenten ikke billigt kan udlede af koden: præcise kommandoer til build, test og lint, konventioner, der ikke er åbenlyse, forbudte handlinger, henvisninger til, hvor tingene ligger, og hvad "færdig" betyder. At gentage almindelig god praksis eller duplikere en linterkonfiguration spilder tokens. Modstridende regler på tværs af indlejrede filer er en almindelig kilde til uforudsigelig adfærd, og forældede kommandoer er værre end ingen, fordi agenten stoler på dem.

To begrænsninger definerer sikkerhedsmodellen. For det første er filen kontekst, ikke konfiguration: Modellen styres af den, men er ikke bundet af den, så hårde garantier (læs aldrig .env, push aldrig til main) hører hjemme i rettighedsindstillinger, hooks, sandkassepolitik eller branch protection, ikke i prosa. For det andet kan alle, der kan ændre filen, styre agenten. Forskere hos Pillar Security demonstrerede i 2025 en "rules file backdoor", der brugte usynlige Unicode-tegn til at skjule ondsindede instruktioner i regelfiler, og et klonet tredjepartsrepository har sine egne instruktioner med. Modtræk er at kræve gennemgang af en code owner for disse filer, scanne diffs for skjulte tegn og behandle upålidelige repositories som upålideligt input, før man kører en agent i dem.