给 Ops Agent 一个「只开 PR」权限，竟成了全仓库后门
Adorable-Algae6903 · reddit · 2026-09-26
作者在公司搭建 ops agent 时只给了它一个写权限：用变更打开 PR（不能合并），自以为很安全，实则不然。
- Agent 的 token 有 push 权限，任何人（包括对该仓库只有只读权限的人）都能让它开 PR，等于绕过了写权限控制
- 在 system prompt 里写限制没用，因为 API 调用仍以 bot 的 token 执行
- 作者的修复：在 agent 前加了一层检查（详见其 Medium 文章）
- 核心教训：agent 权限模型里，「工具的表面动作」不等于「凭证的实际能力」，必须按凭证真实能力设计审批
所属事件:Ops Agent 仅“开 PR”权限竟成全仓库后门(2 条相关)→
「编程与Agent」频道最新
- Plurai 推出 Agent 仿真平台：从代码库构建数字孪生自动找故障 — thisguyknowsai · 2026-11-11
- 0xJeff:x402 的真正短板在企业级,大钱在 B2V 而非机器互付 — 0xJeff · 2026-11-11
- 开发者自建 git 网页应用被 Codex 安全护栏误判为网络安全风险 — brianmichel · 2026-11-11
- 形式化验证让 AI 编码更快：Lean 证明成为 agent 优化护栏 — bigdata · 2026-11-11
- Orchestrator v0.14.11 发布：统一管理散落各处的 AI 编程会话 — julianweisser · 2026-11-11
- DeepSeek 开源编码 agent DSH 登上 HF Harness 榜，五项评测并列第一 — TheZachMueller · 2026-11-11