AI编码助手接管仓库前先过三道安全闸

TECH NOTE

先给结论

适合谁：每天让 Cursor、Claude Code、Codex、Copilot CLI 或自建 Agent 读取陌生仓库、执行命令、生成补丁的开发者。

最终产物：一个 agent-sandbox 隔离目录、一份命令审计清单、一条提交前 Secret Scanning 流程。

验收方式：能复现 clone、检查、运行、扫描、迁移 patch 五步，并在日志里看到每个命令的输入、输出和失败样例。

TECH NOTE

为什么 clean repo 也能出事

TECH NOTE

操作步骤：最小安全路径

创建 agent-sandbox 工作目录：对象是陌生 GitHub 仓库，输入是仓库地址和空目录，检查点是目录里没有真实项目的 .env、SSH key、云厂商 token 或生产配置文件。

执行 git clone 获取代码：对象是 suspect-repo，输入是只读仓库地址，检查点是 clone 后先只运行 find 和 grep，不让 AI 助手直接执行 npm install、pip install、make setup 或项目自带 init 脚本。

检查 README、package.json、pyproject.toml、Makefile 和 shell 文件：对象是安装入口和生命周期脚本，输入是文件列表，检查点是记录 postinstall、preinstall、curl、wget、base64、DNS TXT、/dev/tcp 等高风险命令。

配置 AI 助手为 read_only_first：对象是 Agent 客户端或团队规范，输入是 AGENT_MODE、AGENT_NETWORK_POLICY、AGENT_REQUIRE_HUMAN_APPROVAL，检查点是安装、初始化、网络和 shell 命令都需要人工确认。

运行最小无副作用检查：对象是仓库源码，输入是 python3 compileall、静态 grep 或项目自带 check 命令，检查点是输出日志保存到 /tmp，失败样例能定位到具体文件和命令。

接入 GitHub MCP Server Secret Scanning：对象是支持 MCP 的客户端，输入是 secret_protection toolset 和 run_secret_scanning 工具，检查点是提交前能触发一次密钥扫描，并能说明扫描结果是当前会话的预提交检查。

迁移 patch 回真实仓库：对象是 AI 生成的补丁，输入是 diff 或人工挑选的文件，检查点是真实仓库重新跑测试和 secret scan，而不是直接复制隔离目录里的全部状态。

BASH

mkdir -p "$HOME/agent-sandbox" && cd "$HOME/agent-sandbox" git clone https://github.com/OWNER/REPO.git suspect-repo cd suspect-repo find . -maxdepth 3 -type f ( -name 'README*' -o -name 'Makefile' -o -name 'package.json' -o -name 'requirements.txt' -o -name 'pyproject.toml' -o -name '*.sh' ) -print python3 -m compileall . >/tmp/agent-compile.log 2>&1 || true grep -RInE 'curl|wget|bash -c|sh -c|dig .*TXT|base64 -d|/dev/tcp|postinstall|preinstall|python3 -m .*init' . || true copilot mcp --toolsets=secret_protection --tools=run_secret_scanning copilot --add-github-mcp-tool run_secret_scanning

TECH NOTE

命令与配置

JSON

{   "mcpServers": {     "github": {       "url": "https://api.githubcopilot.com/mcp/",       "headers": {         "X-MCP-Toolsets": "secret_protection",         "X-MCP-Tools": "run_secret_scanning"       }     }   } }

ENV

AGENT_WORKDIR=./agent-sandbox AGENT_MODE=read_only_first AGENT_NETWORK_POLICY=deny_unknown_outbound AGENT_SECRET_SCAN=required_before_commit AGENT_REQUIRE_HUMAN_APPROVAL=install,init,postinstall,network,shell

TECH NOTE

验收清单与风险边界

如果仓库要求执行远端安装脚本，先不要让 Agent 直接跑，改为人工展开脚本内容后再决定。

如果脚本出现 DNS TXT、base64 解码、反连地址、读取 HOME 目录凭据等行为，默认按高危处理。

如果 Secret Scanning 只在当前会话给出临时结果，不要把它当成长期审计记录。

如果团队没有 GitHub Secret Protection 权限，就用现有的 gitleaks、trufflehog 或企业 DLP 补上同一位置。

如果 AI 助手要求提升权限、关闭沙箱或读取全局配置，必须人工审批并记录原因。

如果项目是生产仓库，不要在同一个目录里同时跑陌生依赖安装和真实发布命令。

TECH NOTE

是否值得放进日常

DECISION

今天可以试的人，是已经在日常用 AI 编码助手处理陌生仓库、并且能控制 Agent 工作目录和 MCP 配置的开发者；先观望的是没有 Secret Scanning 权限、无法记录命令日志、或必须在生产仓库直接运行初始化脚本的团队；试用时看 3 个检查指标：命令日志是否完整、密钥扫描是否通过、失败样例是否能定位到具体文件和命令。