AI 编码助手在打开仓库时会读取代码、配置、脚本和专属指令文件。
如果仓库包含恶意配置或脚本，助手会在执行常规 Git 操作（如
git status、git diff）时触发攻击，甚至通过提示注入泄露环境变量或执行不受信任的命令。主要威胁
- Git 配置攻击：如core.fsmonitor指向恶意程序，导致助手执行攻击代码。
- 提示注入：仓库中的指令文件可直接影响助手行为，可能绕过安全规则并泄露凭证。
- 权限滥用：助手往往拥有终端、浏览器、凭证等多重权限，若被攻击可造成大范围破坏。
防护建议
1. 先审查再信任：打开未知仓库前检查.git/config、脚本、AI 指令目录等。
2. 最小权限原则：限制助手访问生产凭证、云账号、SSH 密钥等。
3. 沙箱执行：对不熟悉的项目使用容器或临时 VM，降低风险。
4. 预览并审查技能：GitHub 等平台的 AI 技能需先预览，确认无恶意脚本。
5. 隔离敏感变量：确保助手不必访问AWS_SECRET_KEY、GITHUB_TOKEN等敏感环境变量。
结语
AI 编码助手是强大工具，但其对仓库的深度访问也带来了新的安全边界。开发者需像对待任何特权系统一样，对仓库、助手指令和凭证进行严格审查与隔离。