AI Agent 安全實戰：我攤開自己的 70 條 Claude Code 權限清單後改了什麼

1. 先講結論：擋不住的是注入，能控的是權限

2. 2026 年真的出事的 4 件事

• 沒有人為它發 CVE

  Comment and Control 由 Aonan Guan 與 Johns Hopkins 的 Zhengyu Liu、Gavin Zhong 共同揭露，三家廠商都沒有指派 CVE、也沒有發公告

• 三家的定性差很多

  Anthropic 判 critical、賞金 100 美元；Google 賞金 1,337 美元並加了 guardrail prompt；GitHub 賞金 500 美元，並歸類為「已知的架構限制」

• 不需要受害者做任何事

  GitHub Actions 本來就會被 pull request、issues、issue_comment 這些事件自動觸發，開一個 PR 或發一則 issue 就啟動了 agent

• 修補到公開之間隔很久

  Claude Code 那兩個洞的時間線是 2025-07-21 通報、2025-08-26 修、2025-10-03 發 CVE-2025-59536、2026-01-21 發 CVE-2026-21852，2026-02-25 才公開細節

3. OWASP 2026 版：Excessive Agency 從第 6 跳到第 3

• LLM01 Prompt Injection 沒動

  連續兩版第 1 名。原因是架構性的：指令與資料共用 context window 這條管線

• LLM02 Sensitive Information Disclosure 沒動

  第 2 名。上面四個案例最後外洩的東西都落在這一類

• LLM03 Excessive Agency 跳三名

  從 2025 版的 LLM06 上來，是整張榜移動最大的一項。Check Point 的說法是「agent 拿到的工具與業務系統存取權越多，被操縱時的衝擊就越大」

• LLM07 Misinformation 上升

  從 LLM09 上來

• LLM08 改名 Hidden Context Exposure

  把原本的 System Prompt Leakage 擴大成整個隱藏上下文外洩的範疇

4. 為什麼「模型變聰明就好」不是防線

• 模型訓練層

  用強化學習把抗注入直接練進模型能力裡

• 分類器層

  掃過所有不可信內容，標出隱藏文字、被動過手腳的圖片、誘導性的介面元素

• 紅隊層

  人類資安研究員加上對外的競技場式挑戰

• 三層疊完的結果是 1%

  Anthropic 自己在同一篇裡寫：1% 的攻擊成功率雖然是明顯改善，仍代表有意義的風險

5. Claude Code 官方擋得住什麼（照文件，不是我猜的）

• 權限式架構

  Manual 模式從唯讀權限開始，只有 ls、cat、git status 這類內建唯讀指令不問

• 工作目錄邊界

  Manual 模式下只能寫啟動目錄與其子目錄，讀取邊界外的路徑也會問

• web fetch 用獨立 context window

  抓回來的網頁內容不跟主對話混在同一個視窗裡，這是官方明列的防注入設計

• curl 與 wget 預設不自動核准

  要抓網路內容的 bash 指令跟其他非唯讀指令一樣要過核准流程

• 指令注入偵測與 fail-closed

  可疑的 bash 指令即使先前被加進 allowlist 也要人工核准，沒對上規則的一律預設要核准

• 信任驗證，但有例外

  第一次跑某個 codebase 與新的 MCP server 都要確認信任 —— 官方同時註明，用 -p 非互動執行時這道驗證是停用的

• MCP 由你自己負責

  官方原話是他們會依上架條件審查連結器，但不對任何 MCP server 做安全稽核、也不管理它們

• 官方自己的但書

  文件裡兩句話值得抄下來：Claude Code 只有你給它的權限、你要為核准前的審查負責；以及這些防護大幅降低風險，但沒有系統對所有攻擊完全免疫

6. sandbox 的兩層隔離，還有它明講不管的事

• 沒有內建的憑證黑名單

  官方原話是 there is no built-in credential deny list —— 只有你自己列出來的檔案與變數會被限制，~/.aws/credentials 跟 ~/.ssh 都要自己寫進去

• 沙箱內指令預設自動核准

  autoAllowBashIfSandboxed 預設是 true，設成 false 才會連沙箱裡的指令都問

• 關掉檔案系統層是會自我提權的

  文件明講：filesystem.disabled 設成 true 之後，沙箱指令可以寫 shell 啟動檔、$PATH 上的執行檔，或直接寫 ~/.claude/settings.json，下一輪就把自己的權限放大了

• deny 只會收窄不會放寬

  各層設定的 deny 條目會合併，任何一層都能加，但沒有任何一層能移除別層加的 deny

7. 我攤開自己的權限清單：70 條 allow、0 條 deny

• 70 條 allow，deny 是空的

  整份設定只有一個 permissions.allow 陣列，沒有 deny、沒有 ask、也沒有任何 hook。全部都是我一路按「以後不用再問」累積出來的

• 裡面躺著 Bash(curl:*)

  任意網址、任意方法。官方預設不自動核准 curl 就是為了擋外送，我一條規則就把那道設計關掉了

• 還有 Bash(git push:*)

  這個 repo 的 .github/workflows/deploy.yml 是 on push branches main，跑在 self-hosted runner 上。所以 git push 在我這裡不是「推 code」，是「未經審查地改 production」

• 以及 ssh 到正式機那台

  allow 清單裡有一條直接放行 ssh 到我 VPS 的規則，等於連 CI 都不用繞

• 而 agent 每天都在讀外部內容

  這篇文章本身就是我的 skill 叫 agent 用 WebFetch 去讀六個外部網站抓回來寫的。讀不可信內容不是假設情境，是我的日常流程

8. 我現在讓 agent 讀外部內容時的隔離做法

• 讀外部內容的工作丟給子 agent

  要改檔案的子 agent 一律開 git worktree，主 session 只收結論，不把整份外部原文吃進主對話

• 共用檔案只有主 session 能碰

  config/urls.py、settings.py、nginx.conf、sitemaps.py 這幾支列成清單，子 agent 只能產出接線說明，由我自己接

• 子 agent 產出檔案只能落在專屬目錄

  data/guides/、data/_curation/、各自的 tests/，路徑不重疊。這篇 guide 也只准寫兩個檔案

• 不可逆的動作留在主 session

  commit 與 push 一律主 session 做，而且只 git add 指定檔案，絕不 git add -A

• 推上去之前有一道人看得懂的關卡

  tests/e2e/test_regression_guard.py 有 57 項，專門守「渲染出來的可見內容」，例如站內不得連到已退役網域、頁面不得出現 Traceback。它第一次實跑就抓到 2 個純讀 code 漏掉的死連結

9. 我在權限這件事上犯過的 5 個錯

• ❌ 一路按「以後不用再問」，養出 70 條 allow

  結果是 curl、git push、ssh 到正式機三條同時在裡面，而 deny 是 0 條。現在改成：把通往正式機的那幾條移出專案設定，需要用的時候當次授權，用完不留

• ❌ 以為「agent 不可以 commit」這條規則是為了避免多 session 打架

  它其實也是我唯一擋在 agent 與 production 之間的東西 —— 而它只寫在 CLAUDE.md。CLAUDE.md 是提示，不是權限，被注入的 agent 沒有義務照做。現在改成把同一件事同時寫進 deny 規則，讓它由機制擋而不是靠自律

• ❌ 以為 CI 裡也會跳信任提示

  官方文件白紙黑字：-p 非互動模式下信任驗證是停用的。而我的部署流程正好是 push 觸發、非互動、跑在自己的 runner 上。現在改成：CI 裡不放任何會讀 PR 標題或 issue 留言的 agent 步驟

• ❌ 用「這個 MCP server 有沒有名氣」當安裝標準

  Kaspersky 那支概念驗證的設計重點就是同時回正常結果，名氣跟輸出正常都證明不了什麼。而官方文件也講明他們不對任何 MCP server 做安全稽核。現在改成：只掛自己讀過原始碼的，會寫入的那些單獨放一個 server，用到才開

• ❌ 把「模型夠聰明就會擋掉」當成一層防線

  Anthropic 自己量到的是三層防護疊完後 1%，而且他們自己說那仍是有意義的風險。100 次裡 1 次，對每天被 PR 觸發的自動化流程來說就是遲早的事。現在改成：假設它會過，然後去限制過了之後能做什麼

10. 最後

11. 資料來源與擷取日期