15 | 从 Pi 安全文档看懂有 bash 的 Agent

以前看代码，只要不运行脚本就没事。现在给 Agent 配上 bash，光读文件就能中招。

黑客把指令藏在开源库的 README 里。Agent 一读，就把私钥发给了对方。这叫间接提示词注入，专骗大模型。

Pi 在入口设了信任门禁。遇到外部配置直接挂起，等人类点头。无人值守时默认全关，绝不偷偷执行。

有些框架号称有沙箱，其实只靠正则拦命令。加个空格、换个工具，或者用 Base64 编码，立马绕过。

真正的防线得交给操作系统。把 Agent 塞进 Docker 容器，只挂载工作目录。敏感动作必须由人亲自回车授权。