AI Agent 删库事故警示:Cursor、Claude Code、Codex 安全使用指南

点击上方蓝字关注，了解更多AI资讯

Jer Crane，PocketOS 创始人，这是一家以给租车公司提供运营软件支持为核心业务的公司，功能覆盖预约、支付、客户管理、车辆追踪等。

这天，他像往常一样使用 Cursor + Claude Opus 4.6 进行开发工作。灾难来临了：Agent 原本在处理 staging 环境的常规任务，遇到了凭证不匹配的问题，它决定自行“修复”这个问题，找到了一个 Railway API token，然后调用 GraphQL 的 volumeDelete 删除了数据库 volume。

9秒钟后，生产数据库和 volume-level backups 一起消失，当他发现了这个问题并尝试恢复备份时，发现最近可恢复备份是3个月前。客户的新预约、新注册、新业务数据统统消失不见了。

我们当然不能简单的把所有问题都归结于AI犯了错，Railway API 缺少删除确认、token权限过大、备份数据和原始数据处在相同的风险半径、以及 Cursor 的提示词和规则没有形成真正的强制安全边界，都是这场事故发生的原因。

但，万分之一几率发生在我们身上，都是让人无法接受的事情。

从去年开始，AI编程工具逐渐从“副驾驶”发展成“自动驾驶”，在享受全自动高效开发流程的同时，风险等级也直接拉满，AI现在不只是会写错代码了，还可能直接操作真实的环境。

刀本身并不危险，危险的是拿刀的人。AI原本只是一个帮你写代码、查问题、跑命令的工具。但当它拿到足够大的权限时，按照墨菲定律，任何事情都有可能会发生。

最后，给普通开发者的7条安全清单

本地和生产环境隔离，不要让AI连接任何生产环境。
数据库只读账号：可以查，但删改时必须人工确认。
危险命令二次确认：rm、drop、truncate、deploy等命令必须要人工确认后才可以执行。
先跑测试再改线上。
秘钥不要裸奔。
保留操作日志。
备份！备份！备份

↑点击关注，帮助你用更少的时间跟上AI变化

最后，给普通开发者的7条安全清单

本地和生产环境隔离，不要让AI连接任何生产环境。

数据库只读账号：可以查，但删改时必须人工确认。

危险命令二次确认：rm、drop、truncate、deploy等命令必须要人工确认后才可以执行。

先跑测试再改线上。

秘钥不要裸奔。

保留操作日志。

备份！备份！备份