标签：安全

托管智能体跑起来以后要解决的事：沙箱能访问哪些网站、文件和代码怎么放进去、第三方服务的密钥怎么不让它看到、怎么跨会话记东西、怎么定义做完的标准、怎么给花费封顶、怎么定时跑。按官方文档整理，全文未实测。

一个智能体忙不过来时，可以让它把活派给子智能体，或者自己写一段工作流让几百个智能体在后台跑；数据不能出内网时，可以把工具的执行搬到自己的机器上。本文按官方文档整理这两部分的用法、上限和安全分工，全文未实测。

一个人一把 key 没什么可管的；团队用、上生产，就要分清 key 的类型，用工作区隔开环境和项目，会查用量和花费，知道数据留多久。本文按官方文档整理。这些是官方控制台的功能，通过中转站用不到。

跑命令、改文件、跨对话记东西、操作桌面和浏览器，这几类工具 Anthropic 已经定义好，你只负责执行。本文在服务器上用 bash 加文本编辑器搭了一个最小的改代码智能体，并实测记忆工具；电脑和浏览器操作按文档整理。

用 Claude 做的应用上线之前，怎么知道它够不够好，怎么防它乱说、被带偏、把系统提示说出去、回得太慢。本文整理官方的六页指南，并通过中转站做了五个小实验：十二条的分类评测、文档里没有的问题、邮件里夹带的指令、套系统提示、流式的首字时间。

channels 让外面的事件自己进到一个开着的 Claude Code 会话里：CI 挂了、监控报警、你在 Telegram 上发的一句话。本文整理它是什么、和远程控制等方式的区别、官方插件怎么配、怎么自己写一个、安全上要守住什么。本站通过中转站试了一次，结果是用不了，文中给出看到的提示。

代码智能插件把语言服务器接给 Claude：改完代码自动拿到类型错误，按符号找定义和引用。本站用 TypeScript 实测，连踩三个坑才跑通，并发现第一次编辑的诊断要等到下一步才到。后半篇讲装一个插件之前怎么看清它会在你机器上运行什么，以及卸载之后还留下什么。

Claude Security 是官方的深度扫描插件：几个代理分头读代码找漏洞，再由三个评审各自投票，通过的才进报告。本站在一个埋了问题的小应用上跑了两次：都找到了路径穿越，还找出一个我们没埋的崩溃问题并验证属实；但两次的结论数量和评级不一样，出补丁两轮都被它自己的评审否决。合计 3.70 美元。

智能体要改数据、要花钱的时候，放不放行不能只靠模型自己判断。本站用 Python 实测了三种把关的办法：权限模式和规则、让调用停下来等程序批准的审批回调、在工具运行前后插入检查的 hooks。小额退款自动批准、大额拒绝、冻结的订单拦下、每次调用记日志，都跑通了。附一次调用依次要过哪几道关。

脚本在终端里能跑，放到服务器上给别人用还要多想几件事。本站实测了前半部分：每个会话是一个约 240 MB 的子进程，预算上限会超一点，3 秒的超时实际要 8 秒多才退出，花费怎么记才不重复，目录里的 CLAUDE.md 默认会被读进去。容器、代理和密钥部分整理自官方文档。

沙箱是操作系统替你看住的一道边界：Claude 跑的命令只能写工作目录，联网要过一个只放行指定域名的代理。本站在 Ubuntu 24.04 上从安装开始实测：Ubuntu 上多出来的一步、默认读得到凭据怎么堵、命令在哪几种情况下会跑到沙箱外面，以及一个 Linux 上的坑：沙箱里 git add -A 会失败。

security-guidance 是官方的一个插件，装上后在 Claude 改文件、每轮结束、提交时各做一次安全检查。本站把三层都实测了：它查出了我们故意留的 SSRF、开放重定向和凭据外泄。也记下两个让后两层悄悄失效的坑：缺 Python 依赖，以及中转站拦了插件的请求。失效时会话里没有提示，附从日志确认的办法。

按 Claude Code 官方文档整理：装上 Claude in Chrome 扩展，Claude Code 就能自己打开页面、点按钮、填表单、读控制台报错，改完前端代码当场验证。讲清怎么开启、站点权限怎么管、常见用法和连不上怎么查。先说一条限制：它要求用 Claude 订阅账号登录，通过中转站用不了。本站尚未实测。

claude -p 让 Claude Code 不带界面运行，可以放进脚本和 CI。本站实测了管道、JSON 输出、按结构返回、dontAsk 加允许列表、轮数上限和 --bare。要留意：操作被拒绝时退出码仍是 0；--bare 把一次最简单调用的估算花费从 0.14 美元降到 0.008 美元。附验证过的检查脚本。

按 Claude Code 官方文档整理：把 Claude Code 装进 GitHub 仓库的工作流，在 issue 或 PR 里 @claude 就能让它分析、改代码、推提交，也可以开 PR 时自动审查、按计划定时跑。讲清两种安装方式、凭据怎么放、谁能触发、怎么控制花费，文末带 GitLab 的做法。本站尚未实测。

测试全绿不等于没问题。本站在 Express 的源码里放了一处“测试和 lint 都过、但条件写反了”的改动，用本地的 /code-review 审了两轮：第一轮 24 秒查出写反的条件，修完再审，又查出一个要人来定的设计问题。讲清这个命令审什么、怎么用，以及让它起草带风险说明的 PR 描述。

Claude Code 能改文件、跑命令，什么时候该先问你，由权限模式决定。本站把几种模式逐个实测了一遍：Shift+Tab 的切换顺序、两种确认框、plan 模式怎么出方案、auto 模式遇到危险动作怎么处理，以及按两下 Esc 能退回什么、退不回什么。

按 DeepSeek Harness 官方文档整理：插件页上的官方插件、实验性插件和第三方插件各是什么，怎么从包名、Git 仓库或本地目录安装，安装源怎么选，装完为什么还要点启用，以及用“创造模式”让它自己写一个插件。也讲清装插件的风险：插件的代码不受工作区沙箱限制。

按 DeepSeek Harness 官方文档整理：权限选择器的三档其实是“沙箱模式”和“审批策略”两个开关的组合。讲清仅可查看、工作区内修改、完全权限各自意味着什么，沙箱只管文件不管网络，实验性的自动审查怎么工作，以及计划模式为什么不算限制。

中转站检测工具给出的分数背后，是六类不同的检测办法：比对协议结构、校验思考签名、比对行为特征、探测能力、核对用量、长期统计。本文按各工具公开的说明讲清每一类查的是什么、查不出什么，以及检测本身的三个共同局限。

按各工具官网 2026 年 10 月的公开信息，对比七个中转站检测工具：各自的定位、覆盖哪些模型、主要看什么、有没有公开榜单、怎么处理 API key、靠什么赚钱。附按场景怎么选、怎么组合使用，以及看检测工具的六个维度。

很多人验证中转站的第一反应是问模型“你是谁”。这验证不了：回答可以被系统提示词改写，响应里的 model 字段也只是一个可以随便填的字符串。本文讲清原因、OpenAI 官方文档对此的提醒，以及应该改看哪些东西。

选中转站不看宣传和低价，看证据。本文按“先定需求、再看检测结果、最后小额试用”的顺序，讲清 Claude Code 和 Codex 各自对中转站的硬性要求、检测报告里该看的五条指标、排行榜怎么用，以及充值前的检查清单。

根据 Veridrop 公开的检测说明整理中转站常见的五种掺假手段：换模型、裁掉高级能力、用量和计费对不上、模型列表有名无实、注入系统提示词。每种讲清你会看到什么、怎么初步判断，以及哪些情况其实不算造假。

Claude 的每个思考块都带一个 signature 字段，是加密后的完整思考内容，只有 Anthropic 的服务端能生成和校验。本文按官方文档讲清它是什么、在最新的 Claude 5 模型上怎么看到它、几种容易误判的情况，以及自己能看到什么、验证不了什么。

根据 Anthropic 的文章整理：用 Claude Managed Agents 做一个定时读取 Slack 和 GitHub、把要点发到 Slack 的智能体。按来源、去向、代理、定时、记忆、护栏六个部分，讲清每一处常见的失败和官方的六条规则。

10 月 8 日和 9 日 Claude Code 发布两个版本：命令和 HTTP hooks 新增 onFailure block，hook 出问题时拦住操作而不是放行；修复编辑 GBK 等非 UTF-8 文件时把中文全部替换掉的问题；子代理可以单独设置自动压缩的时机。

OpenAI 在 10 月 8 日和 9 日发布 Codex CLI 0.162.0 和 0.162.1：可以创建和管理 Git worktree、在任务中心置顶任务，自定义模型供应商可以配置联网和远程压缩。同一周 Codex 在 Windows 上换用基于 MXC 的新沙箱，桌面应用开始测试“输入预测”。

根据 @0xMorlex 的长文整理并对照官方文档核对：Grok Bot 现在会把任务交给 Claude Opus 5.5 这样的外部模型。本文按十个步骤讲怎么建第一个 Bot、写职责说明、连接工具、交接登录、做成定时任务，以及怎么划定必须由你批准的界线。

10 月 6 日到 8 日 Claude Code 发布三个版本：2.1.294 修复了用指令写成的 prompt 和 agent hooks 该拦不拦的问题，2.1.293 加入 Haiku 5.5，2.1.292 修复多个安全问题并让子代理可以指定 effort。

Mods 让你用几行 JavaScript 改写 Claude Code 的行为和界面。本文说明它和 hooks、skills 的区别，怎么安装和关闭，以及安装前要注意的安全问题。