我敢把生产密钥交给 AI 编程助手了I trust my coding agents with production secrets now

作者是资深安全工程师，现在敢把 SSH 私钥、OAuth token 等核心密钥直接交给 AI 编程助手使用。这些密钥存放在密码保险库中，助手通常只调用、看不到明文。

这在不少人眼里是「自杀式操作」：助手既能读私密数据，又能读不可信内容，还能对外发消息——正好凑齐 Simon Willison 所说的「致命三件套」。理论上，恶意网页可能诱导助手泄露密钥。

安全始终是生产力与风险的权衡

给助手生产权限，它就能自己查日志、修故障、部署并验证结果，省去大量人工步骤。作者之所以敢这么做，和给新人同事开权限的逻辑一样：知道对方可能犯错，但工作需要就得给。

关键变化在于模型本身。作者只用 Claude 和 Codex 这类前沿模型，它们区分用户指令和内容里恶意指令的能力大幅提升，让作者对提示注入的担忧大大降低。但这仅限于可信代码库，随手打开陌生 GitHub 项目仍非常危险。

容器隔离不是防黑客

即便信任助手，作者仍坚持把它们关在 Docker 容器里跑。这更多是为了防止「熊孩子」般的误操作——比如在错误目录执行 rm -rf、进程互相干扰——而不是防恶意攻击。

至于最小权限原则，作者认为纯靠隐藏凭证是自欺欺人：能拿到生产服务器 root 权限的助手，照样能删库跑路。真正的解法是模型能力持续提升。说不定未来我们给 AI 的信任，会超过给自己的。