AI Agent 安全自查清单：3分钟排查完5个高危漏洞

上期配图自动化，有读者说”5分钟生成了一套，太香了”。这期聊个更要命的——你的 AI Agent 可能正在裸奔。

▶说真的

我上个月排查了一下我的 AI 工作台，发现了 5 个高危漏洞：

• API Key 明文写在配置里
• MCP 权限开太大
• 记忆系统没有加密
• 工具调用没审计
• 第三方工具没校验

下面5个，3分钟跑完，该补补该关关。

▶漏洞 1：API Key 明文存储

这个最常见，也最危险。

❌ 危险写法：

export OPENAI_API_KEY="sk-xxxxx"

✅ 正确写法：

export OPENAI_API_KEY=$(cat ~/.secrets/openai.key)
chmod 600 ~/.secrets/openai.key

自查命令：

grep -r "sk-" ~/.claude/ ~/.openclaw/ 2>/dev/null
grep -r "sk-" ~/projects/ 2>/dev/null

修复步骤：

mkdir -p ~/.secrets
echo "sk-你的真实key" > ~/.secrets/openai.key
chmod 600 ~/.secrets/openai.key
source ~/.secrets/openai.key && export OPENAI_API_KEY

▶漏洞 2：MCP 权限开太大

AI 可以翻你 .ssh、.aws、.config 下的所有文件。你敢信？

❌ 危险配置：

{
  "mcpServers": {
    "filesystem": {
      "command": "npx",
      "args": ["-y", "@anthropic/mcp-server-filesystem"]
    }
  }
}

意味着 AI 可以读取你电脑上的任意文件。

自查命令：

cat ~/.claude/settings.json | grep -A 10 mcpServers

✅ 安全配置：

{
  "mcpServers": {
    "filesystem": {
      "command": "npx",
      "args": ["-y", "@anthropic/mcp-server-filesystem"],
      "env": {
        "ALLOWED_PATHS": "/home/user/projects,/home/user/docs",
        "DENIED_PATHS": "/home/user/.ssh,/home/user/.aws,/home/user/.config"
      }
    }
  }
}

▶漏洞 3：记忆系统没有加密

你的 MemPalace 或者其他记忆系统，存的都是你的黑历史：

• 技术选型决策
• 吐槽老板的对话
• 项目里的破事

这些内容存在向量数据库里，如果没有加密 = 裸奔。

自查命令：

grep -r "password\|auth" ~/.mempalace/config.yaml

✅ 修复：

palace:
  storage:
    type: chromadb
    connection:
      persist_directory: ~/.mempalace/data
      auth:
        type: basic
        username: admin
        password: ${MEMPALACE_PASSWORD}  # 用环境变量

▶漏洞 4：工具调用没审计

AI 偷偷调用了你的网络请求、帮你执行了命令、访问了你的数据库——你完全不知道。

自查：

ls -la ~/.claude/logs/

✅ 修复：开启审计

security:
  audit:
    enabled: true
    log_path: ~/.claude/logs/audit.log
    retention_days: 90
    alert_on:
      - network_request
      - exec
      - write_file

▶漏洞 5：第三方工具没校验

你装了一堆 MCP 工具、社区插件——这些工具的代码你看过吗？知道它会干什么吗？

自查命令：

grep -r "npx\|npm\|pip" ~/.claude/settings.json
npm info <package-name> repository

▶一键修复脚本

直接跑这个，3 分钟出结果：

#!/bin/bash
echo "🔍 开始 AI Agent 安全自查..."

echo "✅ 检查 API Key..."
if grep -rq "sk-" ~/.claude/ ~/projects/ 2>/dev/null; then
    echo "⚠️  发现明文 API Key，请立即修复"
else
    echo "✅ API Key 无明文"
fi

echo "✅ 检查 MCP 权限..."
if grep -rq '"command"' ~/.claude/settings.json; then
    echo "⚠️  有 MCP 工具，请检查权限配置"
else
    echo "✅ 无 MCP 风险"
fi

echo "✅ 检查审计日志..."
if [ -d ~/.claude/logs/ ]; then
    echo "✅ 审计日志已开启"
else
    echo "⚠️  未开启审计"
fi

echo "🎉 自查完成"

▶验收清单

• API Key 不再明文存储
• MCP 配置了路径白名单/黑名单
• 记忆系统加了密
• 工具调用有审计日志
• 跑了一键检查脚本

你发现自己有几个漏洞？0 个还是 5 个？留言说说，我帮你诊断。

下期预告 🦞 龙虾实战 #004｜从打字到说话——我用语音控制 AI 干活的 30 天实战记录