禁掉 Claude Code 之后，员工把公司代码粘到了个人电脑

Amjad Masad 在推特里说得很直：AI agent 跑在员工终端上，正在变成企业和政府的系统性安全风险。一些机构开始限制 Claude Code，高盛据报也在其中。他转的是 Luis Héctor Chávez 写的安全公告：原文链接，原推在这里。

先把背景补齐。这里的 agent 不是网页里的聊天框，它跑在开发机上，有 shell 权限，能读文件、跑命令、碰环境变量，也能通过网络访问外部服务。它替人干活，也继承了人的权限。企业过去按员工账号划边界，现在多了一个会自己行动的进程。

限制 Claude Code 看起来最直接。问题在回复区：多人提到，禁令会把使用推到个人笔记本。K4k0 说，员工可能把公司代码粘到个人电脑上跑，安全性更差。Somi 也认为，禁用主要只是把 agent 移到个人设备。Jacob Ho 给了另一种做法：给 coding agent 专用 VM、短期 token、不开放生产 SSH。他说事故率下降得比任何禁令都明显。

更扎心的坑在凭据。Tayo Stack 说，很多团队把沙箱锁得很紧，转头又把 API key 塞进 agent 的环境文件。Jess 追问，托管云环境也挡不住 agent 读取挂载进去的 secrets。Luis Héctor Chávez 的回复是，别给 agent 直接凭据，所有出站请求走代理，由代理执行组织对网络访问和第三方连接器的策略。

还有一层更隐蔽：共享状态。John Rood 说，终端风险看得见，内存风险看不见。一旦多个 agent 共享存储，一台被攻陷的笔记本上的 agent 能读到其他 agent 上个月做过什么决定，包括它本来没权限看的内容。这个边界该按调用者划，不按工作区划。ReignSwords 也补了一句，短期 token 和专用 VM 解决凭据那一半，共享记忆被污染更难处理，一个 agent 出事会拖累其他 agent。

管理手段不是没有。Mehdi Mohseni 提到 Claude Code 的 allowManagedPermissionRulesOnly，可以让 IT 的托管设置成为唯一权限规则来源。shallma 列了一组更实际的动作：沙箱 dev container、按任务收窄 token、默认拒绝出站网络、记录每次工具调用。Jatin Garg 问了一个组织问题：云 agent 用员工权限行动时，事故响应归谁。

回复区里还有两句自嘲。Hongji Lee 说，自己笔记本上最大的安全风险，是他每次不看提示就点 allow。Prolific 的回复更刺：企业安全团队禁了 coding agent，同一团队却有 40 个实习生拿着生产凭据和一份共享密码文档。

有网友贴了个视频调侃，现在连咖啡机都要提交安全报告。

安全公告给的方向已经很清楚：隔离环境、代理出站、短期凭据、完整审计、按调用者隔离共享状态。禁工具最省事，也最像控制。实际效果可能是把风险挪到看不见的地方。安全团队要防的，可能是一个拿着钥匙、能读共享记忆、还不用参加入职培训的进程。工具名只是它今天穿的外套。