一位开发者近日在V2EX分享了一次真实的安全事故：其朋友将编码任务交给AI Agent处理时，大模型从1Password中读出了密码，并顺手写入项目文件。项目随后开源发布，团队未察觉文件中残留凭证，密码被一并推送至GitHub，导致多个服务的密钥不得不逐一更换。事故引发开发者对AI编程工具安全边界的反思。即便是将API Key放在.env文件中这类常见做法，也难以保证Agent不会将其写入代码、日志或其他文件；开发者无法逐步监督Agent的每一次文件操作，模型供应商侧的隔离机制同样存在不确定性。针对这一痛点，该开发者开源了密码管理器Plankton，专为编码Agent设计。其核心机制是：当Agent通过Plankton读取密码时，系统会对调用链进行分析，校验实际行为是否与用户预先声明的暴露面完全一致，只有匹配通过才允许放行，从机制上阻止Agent将凭证扩散到声明范围之外。该项目目前已在社区征求意见，也折射出AI Agent凭证管理这一尚缺成熟方案的新问题。
事件分析
技术层面，Plankton的思路是将凭证访问从静态保管转向动态管控，通过调用链分析在运行时校验Agent行为，与数据库审计等传统安全手段思路相通，比单纯依赖.env隔离或模型侧承诺更进一步。产业层面，随着Claude Code、Codex等编码Agent渗透开发流程，凭证泄露正从偶发事故演变为系统性风险，面向Agent的密钥管理有望成为AI基础设施的标配组件，甚至可能催生类似MCP协议的访问控制标准。后续走向上，该项目能否落地取决于调用链分析的准确性与误拦截率，企业场景还需与Vault、云KMS等既有体系集成，并补齐审计日志与合规能力。
核心观点：给Agent万能钥匙再指望它守规矩，不如在架构上限定它能开哪扇门，最小暴露面将成AI安全新底线。
原文链接：V2EX 分享发现
