AI 編程安全注意事項：密鑰保護、權限模式怎麼選、提示注入防範清單

本文根據 Claude Code、Cursor、GitHub Copilot CLI、Cline、Kiro 的官方安全文檔和 MCP 官方《Local Server Security》整理，資料核對於 2026-10-11。本文講的是保護你自己的代碼、密鑰和電腦的做法。

適用於誰

• 開始讓 AI 智能體直接改文件、跑命令，心裏沒底的人；
• 搜「ai 編程 安全」「提示注入」「mcp 安全風險」的人；
• 團隊裏要給 AI 編程工具定使用規範的人。

結論先說

1. 智能體有手有腳：能讀文件、改文件、跑命令、聯網。幾家官方都承認 AI 會因為提示注入、幻覺等原因做出意外行為，所以才有權限和沙箱這些護欄——Cursor 明確說它們是「盡力而為的護欄，不是硬性安全邊界」。
2. 密鑰三不：不寫進代碼、不貼進對話、不放進會被提交或被智能體讀到的文件。
3. 權限選中間檔：既不要每一步都手動點（會點麻木），也不要全部放開。各工具都有「自動審查 + 沙箱」這類中間模式。
4. 凡是智能體讀到的東西都可能帶指令：網頁、issue、PR 評論、依賴包的 README、MCP 工具描述、別人倉庫裏的規則文件。這就是提示注入。
5. 最後一道防線是你：Claude Code 官方的原話是，用戶有責任在批准前審查代碼和命令的安全性。
6. 一切操作都在 Git 管理下進行，隨時能回退。

一、密鑰

常見的泄露路徑

忽略文件能擋多少

• Cursor 預設忽略 .env、.git/ 和鎖文件，可用 .cursorignore 追加。但官方說明：終端命令和 MCP 工具運行在這套文件訪問控制之外，仍可能讀到被忽略的文件。
• Cline 的 .clineignore 官方已標註即將棄用，並明說它不是安全或訪問控制邊界，推薦改用 PreToolUse hook 做真正的攔截。
• 結論：忽略文件只能減少「不小心讀到」，要真正攔住，得靠權限規則裏的 deny 和沙箱。例如 Devin Desktop 可以寫 Read(**/*.pem) 的拒絕規則；Claude Code 可以在 permissions.deny 裏禁止讀取某些路徑。

萬一泄露了：立刻到發放方作廢並重新生成這把 Key。從對話或提交歷史裏刪掉並不夠——它可能已經進入日誌或被推送。

給 Key 最小權限。Kiro 官方舉的例子：GitHub 用細粒度個人訪問令牌而不是經典令牌，只授權需要的倉庫，並定期輪換。

二、權限模式怎麼選

對應教學：《Claude Code 權限模式詳解》、《Cursor 私隱模式與 Agent 權限》、《Codex 權限與沙箱設定》、《GitHub Copilot CLI 安裝與使用》。

選檔位的三條原則

1. 日常用中間檔。純手動模式下每一步都彈窗，人很快就會不看內容直接點同意，反而不安全。Claude Code 官方把允許常用安全命令加白名單稱為緩解「提示疲勞」。
2. deny 規則寫死紅線。不管哪個檔位，都把絕不允許的操作寫成拒絕規則：git push、刪除類命令、讀密鑰目錄、訪問生產環境的命令。Copilot CLI 官方明確 deny 永遠優先於 allow。
3. 全部放開只用在可丟棄的環境：容器、虛擬機、沒有任何憑據的雲端沙箱。在裝着 SSH 密鑰和雲憑據的工作電腦上不要開。

分類器不是保險。Cursor 官方直說 Auto-review 的分類器會出錯——可能放行你本想攔的，也可能攔下你本想放的。Cline 的「安全命令」是模型自己根據命令內容標記的，沒有固定白名單，官方說給出的例子不是保證。

三、提示注入

是什麼。Claude Code 官方的定義：攻擊者通過插入惡意文本，試圖覆蓋或操縱 AI 助手的指令。對編程智能體來說，危險在於它分不清「數據」和「命令」：它讀到的任何文字都可能被當成要執行的指示。

可能藏在哪

• 讓它「讀一下這個網頁 / 這篇文檔」——頁面裏藏着給 AI 的指令；
• issue、PR 評論、提交資訊——尤其是開源倉庫裏陌生人寫的；
• 依賴包的 README、代碼註釋；
• MCP 伺服器的工具名稱和描述（MCP 官方稱為「被投毒的工具目錄」）；
• 別人倉庫裏的 AGENTS.md、規則文件、.mcp.json、hooks 配置。Kiro 文檔提醒：只選你信任的倉庫，因為智能體會遵循倉庫代碼裏的指示。

它想讓智能體做什麼：讀取密鑰並通過網絡請求發出去；執行下載並運行腳本的命令；偷偷修改 CI 配置或依賴。

五條防範（前四條來自 Claude Code 官方的「處理不可信內容的最佳實踐」）

1. 批准前看清建議的命令，尤其是帶 curl、wget、管道到 shell、base64 的；
2. 不要把不可信的內容直接管道餵給智能體；
3. 核對對關鍵文件的改動：CI 配置、依賴清單、部署腳本、權限配置；
4. 在虛擬機裏跑腳本和工具調用，特別是要和外部網絡服務交互時；
5. 限制出網。智能體拿到了數據也發不出去，注入就成功不了一半。Cursor 預設設定下智能體不能發起任意網絡請求；Claude Code 預設不自動批准 curl、wget 這類聯網命令；沙箱模式都可以配置域名白名單。

官方也都承認：這些保護能顯著降低風險，但沒有任何系統對所有攻擊免疫。

四、打開不認識的倉庫

別人的倉庫不只是代碼，還可能帶着會自動生效的配置。

• 用工作區信任機制。Claude Code 在你沒信任過的文件夾裏啟動時會彈信任確認；項目 .mcp.json 裏的伺服器另有單獨的批准提示。Devin Desktop 的 Restricted Mode 會禁用所有智能體和 hooks。Cursor 支持 workspace trust 但預設關閉，可在 settings.json 裏設 "security.workspace.trust.enabled": true；Cursor 官方甚至建議：不可信的倉庫乾脆用普通文本編輯器看。
• 先看這些文件：AGENTS.md、CLAUDE.md、.cursor/、.claude/、.kiro/、.trae/、.mcp.json、任何 hooks 配置。
• Trae 的項目級 MCP、Kiro 的多倉庫任務，官方都附了「確保來源可信」的警告。
• 非交互模式要格外小心。Claude Code 官方註明 -p 會話不顯示信任確認。

五、MCP、插件與規則文件

• 本地 MCP 伺服器是以你的身份運行的普通進程，能讀環境變量和文件、能聯網。裝之前按《MCP 伺服器怎麼選》裏的七步檢查過一遍。
• 少裝、用完就關、版本鎖定。
• 新裝的伺服器先別開自動批准，每次調用看一眼參數。
• 從網上抄來的規則、skills、hooks 先讀內容再用——它們本質上是直接寫給智能體的指令。本站 Skill 庫 裏的條目都標了來源倉庫，使用前同樣建議自己讀一遍。

六、代碼與數據去哪了

• 用 AI 功能時，提示詞和相關代碼會發給模型提供方做推理，這是所有云端工具的共同點。差別在是否用於訓練、保留多久。
• 各家都有開關：Cursor 的 Privacy Mode；Claude 消費者帳號可在私隱設定裏更改訓練偏好；ChatGPT 有數據控制設定。見《Cursor 私隱模式與 Agent 權限》、《Claude 私隱設定》、《ChatGPT 私隱設定》。
• 自帶 API Key、使用第三方模型時，數據政策跟着模型提供方走。
• 公司代碼先看公司規定；客戶數據、個人資料不要進對話。

一頁自查清單

每個項目做一次

• [ ] 密鑰全部走環境變量，.env*、證書目錄在 .gitignore 和工具的忽略文件裏
• [ ] 權限規則裏有 deny：推送、刪除、讀密鑰路徑、生產環境命令
• [ ] 權限模式是中間檔，沒有開「全部放開」
• [ ] 讀取範圍限制在工作區內
• [ ] MCP 配置裏沒有寫死的密鑰，每個伺服器都知道來源
• [ ] 倉庫裏有 CI 的測試、類型檢查、lint，AI 的改動要過這些檢查

每次任務

• [ ] 開工前 Git 工作區是乾淨的
• [ ] 批准命令前讀過命令內容
• [ ] 合併前看過完整 diff，重點看 CI、依賴、部署、權限相關文件
• [ ] 讓它讀外部內容（網頁、issue）之後，留意它有沒有提出不相干的操作

出事之後

• [ ] 泄露的 Key 立刻作廢重發
• [ ] 回退到已知良好的提交
• [ ] 查一遍 MCP 配置和 hooks 有沒有被改
• [ ] 可疑行為向工具官方反饋（Claude Code 用 /feedback，Cursor 有安全報告電郵）

參考資料

• Security（Claude Code 官方）：https://code.claude.com/docs/en/security
• Agent Security（Cursor 官方）：https://cursor.com/docs/agent/security
• Run Modes（Cursor 官方）：https://cursor.com/docs/agent/security/run-modes
• Allowing and denying tool use（GitHub Copilot CLI 官方）：https://docs.github.com/en/copilot/how-tos/copilot-cli/use-copilot-cli/allowing-tools
• Auto Approve & YOLO Mode（Cline 官方）：https://docs.cline.bot/features/auto-approve
• Local Server Security（MCP 官方）：https://modelcontextprotocol.io/docs/2026-07-28/tutorials/security/local-server-security
• MCP Best practices（Kiro 官方）：https://kiro.dev/docs/mcp/security