Git worktree 并非 AI 智能体的安全边界：揭秘潜在风险与成本误区

近日，Hacker News 上的一篇技术文章深刻揭示了当前 AI 编程工具架构中的一个重大安全隐患：大多数并行运行 AI 编程智能体的工具默认使用 Git worktree（工作树）来实现所谓的“隔离”，但这实际上提供了虚假的安全感。文章通过技术原理分析和复现代码证明，worktree 仅是一个附加在主仓库 .git 目录下的额外工作目录。由于它共享宿主仓库的 refs（引用）、config（配置）、stash（暂存）和关键的 hooks（钩子），处于 worktree 中的 AI 智能体完全有能力在宿主机器上执行任意代码（通过安装 pre-commit 钩子），甚至能够重写开发者的提交身份信息（修改 user.email）或窃取其他分支的工作进度。针对业界认为“克隆成本高”的普遍顾虑，作者进行了详细的基准测试。测试数据表明，使用本地克隆（特别是 `git clone –shared` 或硬链接机制）所消耗的磁盘空间和 wall time（实际耗时）与 worktree 几乎完全一致，因为瓶颈主要在于工作目录文件的检出，而非历史对象的重写。因此，为了真正的隔离安全，应当为每个不可信的 AI Agent 独立部署 git clone，而非使用 worktree。

事件分析

💡 核心观点：面对拥有代码执行能力的 AI 智能体，Git worktree 的共享机制是致命的安全隐患，而本地克隆才是兼顾性能与隔离的唯一正解。