Ума не приложу откуда вообще взялось такое сильное доверие к агентам. Видимо нас всех успокаивает наличие "правил". Но на каждое правило есть 10 путей обхода. Сегодня хочу подсветить самую частую и глупую ошибку - слитие своего .env файла со всеми секретами.
Агенту запрещено читать любые файлы из .gitignore, в том числе наш любимый
.env. И он эти файлы не читает. Напрямую. Все утечки происходят косвенно:- Агент запускает
docker inspect на контейнере — и вуаля, все env vars в контексте- Решает проверить окружение" и пишет Python-скрипт с open('.env') или os.environ
- Принтует env для "диагностики", читает /proc/environ
- И так далее, так далее, так далее
Кастомизация правил не поможет. Рано или поздно важные ключи окажутся в контексте. А там никто не знает, куда модель сможет их слить. Если не повезёт - то пойдет гуглить "Почему мой токен
super-secret-token отдаёт 403 код ответа?". Путей компрометации на самом деле много.Итого: никаких важных ключей/токенов в репо с агентами вообще! Даже в .env.
🔛 @kisel_it
#ai@kisel_it #it@kisel_it