Gemini CLI 修复安全确认误报:agent 自身命令输出不再触发弹窗

luisfelipe-alt · ghdev · 2026-10-20

Google gemini-cli 仓库的一个 PR 修复了 YOLO 模式下用户频繁遭遇的多余确认弹窗问题。

• 根因:CLI 将 runshellcommand 的输出也包进 <untrustedcontext> 标签,与 webfetch/MCP 输出一起被索引,导致 agent 自己命令的输出里出现的 flag/路径被当作外部输入,反复要求确认(如 pwd、git diff、测试工具 usage 文本都会触发)。
• 修复:引入 externalTokens 集合,仅对真正来自外部的输出(webfetch、websearch、MCP、远程检索)做不可信 flag 检查;工作区内路径不再上报(可执行脚本、URL、含 shell 展开的路径等高风险除外)。
• 另外批准状态现在会跨会话内记住同一 flag/根命令,构建文件修改提示在批准后清除,切换会话时重置。

对做 agent 安全设计的人有参考价值:如何区分「外部不可信输入」与「agent 自身行为输出」,避免 prompt injection 防护误伤正常工作流。

原文链接 →

「编程与Agent」频道最新

• 实测 Hermes Agent 接入 n8n:让 Agent 直接执行自动化工作流 — techlatest_net · 2026-10-23
• OpenAI 建议 MCP 服务器指令控制在约 1000 字符内防截断 — bibryam · 2026-10-23
• OpenAI 数据：仅约 56% 的 MCP 服务器提供了 instructions 字段 — bibryam · 2026-10-23
• OpenAI 建议 MCP 工具勿藏在调度器后，应逐一暴露清晰动作 — bibryam · 2026-10-23
• Resend 单月 100 万次 MCP 调用,OpenAI 视 MCP 为分发渠道 — bibryam · 2026-10-23
• MCP Elicitation 落地 Claude:服务器可在执行中向用户提问 — bibryam · 2026-10-23

更多「编程与Agent」频道 AI 资讯 →