AI编码代理需要一条密钥安全的上下文边界
内容提要
AI编码代理为获取上下文会读取本地文件，可能将.env、密钥、日志等敏感信息发送给外部模型，导致密钥在提交或CI检查前泄露，传统安全关卡无法拦截。应实施零信任控制，在提示或文件读取前用确定性密钥检测进行阻断或脱敏，并明确代理权限与上下文规则。
延伸解读
密钥泄露的路径已改变
传统安全依赖提交、PR、CI等检查点，但AI编码代理在读取本地文件时，可能在代码进入仓库前就将.env、凭证或日志发送给外部模型。这意味着泄露不再局限于仓库内容，还包括代理读取并转发的数据。一旦密钥进入模型提供商日志或提示历史，轮换凭证也无法消除已存在的副本，因此防护必须提前到代理读取和发送的瞬间。
为什么模型自身不能作为安全边界
文章指出，让LLM判断是否传输凭证并不可靠，因为模型决策具有不确定性。有效的控制应是确定性的：在提示或文件读取前，用基于已知凭证模式和政策的安全检测来识别、阻断或脱敏敏感信息。这种控制独立于模型，能提供一致的安全边界，并给开发者清晰的修复路径，而不是依赖模型自行判断。
平衡安全与开发效率
密钥检测必须足够快且误报率可控，否则开发者可能绕过或禁用。同时，团队应明确代理权限和上下文规则，例如哪些目录可读、是否默认排除.env和凭证存储、提示是否经过批准网关、提供商的数据保留和审计设置如何。这些规则应被记录和执行，而非留给个人偏好，以在不妨碍AI辅助开发的前提下防止泄露。
Q&A
AI编码代理为什么会导致密钥泄露？
AI编码代理为获取上下文会读取本地文件，可能将.env、密钥、日志等敏感信息发送给外部模型，导致密钥在提交或CI检查前泄露。
传统安全关卡为什么无法阻止AI编码代理的密钥泄露？
传统安全关卡如提交、代码审查、CI等检查点无法在代理读取文件并发送给模型之前拦截密钥，存在时间差。
如何防止AI编码代理泄露密钥？
实施零信任控制，在提示或文件读取前用确定性密钥检测进行阻断或脱敏，并明确代理权限与上下文规则。
为什么不能依赖LLM来判断是否发送凭证？
因为让LLM决定是否传输凭证无法形成可靠的安全边界，需要独立于模型的确定性检测。
AI编码代理的密钥泄露可能出现在哪些系统中？
可能出现在模型提供商日志、网关遥测、提示历史或调试记录中。
团队应如何明确代理权限和上下文规则？
团队应明确代理可读取的目录，默认排除.env文件、凭证存储、主目录配置和生产日志，并确保提示通过批准的网关，记录并执行这些规则。
