Agent 权限陷阱:沿用自身 token 而非用户身份,变成全员后门
Adorable-Algae6903 · reddit · 2026-09-26
一位工程师分享了自己 ops agent 的教训：只给了 agent「开 PR、不能合并」的权限，看似安全，但 agent 用自己的 bot token 执行，导致任何对该仓库只有只读权限的人都能让它开 PR——agent 成了绕过权限的后门。
三条核心经验：
- Prompt 不能做授权：模型根本看不到你的 GitHub 权限，即使猜对了，API 调用也还是用 bot 的 token 跑
- 用户身份不能是工具参数：如果由模型填写「代表谁」，就可能被诱导填成 admin；用户身份必须来自会话本身（Slack、SSO），在 agent 运行前就确定
- 无响应即拒绝：GitHub 超时或报错时，agent 应停下而不是继续执行
修复方法其实很简单：在写操作前先向 GitHub 查询「发起请求的人」是否有 push 权限，是则执行，否则停下并说明原因。
所属事件:Ops Agent 仅“开 PR”权限竟成全仓库后门(2 条相关)→
「编程与Agent」频道最新
- 零基础用 Blender+Claude+Seedance，30 分钟做出 3D 动画视频 — FinanceYF5 · 2026-11-11
- Explosion 发布 Ellf 目录：52 个 NLP 模板与多智能体标注工作流 — _inesmontani · 2026-11-11
- 梗图吐槽:所谓随机 AI Agent 架构就是换了马甲的马尔可夫链 — PrasoonPratham · 2026-11-11
- OpenCode 上线 Gemini 4 Carbon 与 Claude Fable 5.2 — dean_rie · 2026-11-11
- OpenClaw 发布 v2026.11.3 安全补丁，56 个 PR 修复凭证泄露 — dean_rie · 2026-11-11
- Fable 5.2 首日拿下编码 Agent 中 1/4 的 Claude 回复 — dean_rie · 2026-11-11