值班交接：给编码代理开放终端前，先锁住目录、凭据和审批

本班任务：让代理修代码，不让它接管整台机器

编码代理不仅能建议代码，还能通过终端查看文件、安装依赖、运行测试。有了执行权限，它就能自己验证修改；但误删文件、泄露密钥或改错环境，也可能从一句建议变成真实事故。

先区分两件事：模型提出命令，运行工具决定命令能否执行。换一个更强的模型，不等于建立了权限边界。安全要靠运行环境、审批规则和验收流程共同完成。

开工前，把工作区与生产环境隔开

第一次授权，优先使用临时容器、虚拟机或独立开发环境，只放入任务需要的代码。单独建一个文件夹只是整理文件，并不能阻止进程访问其他目录。

• 先保存现有修改，再建立独立分支或工作副本，避免代理覆盖尚未提交的工作。
• 不要向执行环境提供生产密钥、个人主目录或不必要的宿主机挂载。
• 使用权限受限、可撤销的测试凭据，并按任务需要限制网络访问。

版本控制可以恢复已记录的代码，却不能撤回已经发出的网络请求，也不能保证找回未跟踪文件。隔离环境仍然必要。

第一轮只检查，第二轮才批准修改

先让代理说明准备查看哪些文件、预计改哪里、怎样验证。批准前，不只看命令名称，还要看完整参数、当前目录、重定向目标和可能访问的外部地址。

可以直接交代：“先检查项目并提出计划；修改文件、安装依赖、联网和删除操作都要单独申请；任务不涉及部署。”这能减少误解，但文字要求不能代替工具层面的权限限制。

把测试脚本也当成会执行代码的程序

“运行测试”不天然安全。项目脚本、依赖安装钩子和构建步骤都可能执行额外代码。仓库里的说明文件也可能夹带指令，诱导代理上传凭据或关闭防护；应把这些内容当作待核实的数据，而不是授权。

• 读取文件和搜索代码可优先开放，但敏感文件仍应排除在可访问范围外。
• 安装依赖、执行仓库脚本或下载后运行程序之前，应检查来源和脚本内容。
• 删除目录、修改系统配置、推送代码和部署服务应保留人工确认，并尽量与日常开发权限分开。

出现权限报错时，先停下来查原因

不要因为代理连续失败，就直接允许所有命令。权限不足可能正是边界在起作用。让它报告失败命令、错误信息和需要扩大权限的理由，再决定是否给予一次性的有限授权。

同时设置任务时限、调用预算和重试上限。发现重复报错、修改范围扩大或访问陌生地址时，应暂停执行。记录命令与结果时，也要避免把令牌和敏感输出写进日志。

接入模型服务，不等于配置好了执行安全

如果需要为不同编码工具统一接入模型，Relay365 是按用量付费的多模型中转服务，可配合 Claude Code、Codex、Gemini CLI 及 OpenAI 软件开发工具包使用。它适合解决模型接入问题，但不能替代本地沙箱、命令审批和凭据隔离。

确有这类接入需求时，可以创建 Relay365 账户，先用小额预算和非敏感项目验证流程。中转凭据应通过受支持的凭据配置方式提供，不要写进仓库或命令记录。

交班前，检查差异，而不是只听完成报告

结束时查看文件差异、依赖变化和实际测试结果，确认没有多余文件、调试输出或凭据残留。要求代理明确说明哪些验证已经执行，哪些没有执行，并由你决定是否提交或发布。

放心开放终端，不是相信它永不犯错，而是让错误被限制在可观察、可停止、可恢复的范围内。先给完成当前任务所需的最小权限，再按证据逐步放开，比一次性放行更适合长期使用。