人工智能大模型AI Agent代码智能体多智能体Agent 记忆MCP ClientsCLI【免费下载链接】Tianshu-harness天枢harness是一个的终端编程智能体它要回答的核心问题是模型何以稳定地交付——目标不漂移、完成有证据、验证有闭环不说应该修好了。为此它在模型与真实世界之间建立一层认知执行环境CVM把目标、状态、证据、资源、权限与终止条件从对话历史中外部化由运行时持续管理。同时对deepseek v4极度优化。项目地址https://gitcode.com/huiliyi37/Tianshu-harness点击查看免费下载天枢Tianshu是一个开源终端编程智能体它的核心卖点是模型何以稳定地交付。但真正让它在陌生仓库里放心跑起来靠的是另一面——安全架构所有文件工具被路径边界锁在项目内网络工具内置 SSRF 防护.env、私钥等敏感文件一律拒绝读取改坏了还能凭检查点回滚。本文把这 4 道防线逐层拆给你看。为什么终端 Agent 需要一整套安全层AI 编程 Agent 会读文件、跑命令、发网络请求它的能力边界就是安全风险边界。天枢的官方安全策略把防线概括为路径边界、敏感文件拒绝、破坏性命令门禁、插件安全与网络防护见 SECURITY.md。其中还有一个关键设计——信任边界仓库内容README、issue、代码注释、模型输出、工具返回、网络响应一律被视为数据而非指令。它们可以作为证据被分析但不能单独授权任何写操作或网络请求。这是理解下面所有防线的前提。防线一路径边界——Agent 只能碰你让它碰的文件所有文件工具read_file、write_file、edit_file、glob、grep等在执行前都会经过同一道闸门validatePathSafe。它干了三件事拒绝目录穿越..或指向项目外的绝对路径直接被拒错误信息会明确告知工作区根目录在哪规范化真实路径对路径做realpathSync解析符号链接堵死项目内软链接指向 /etc这类逃逸手法连尚未创建的新文件也会沿已存在的祖先目录逐层解析resolveNearestExisting外出必须授权确实要访问项目外目录时会弹审批请求批准后生成按目录子树区分的read/write授权默认仅当前会话有效勾选记住此授权才持久化到工作区隔离的~/.rivet/path-grants-slug.json不会泄漏到其它项目。完整的沙箱与权限模型包括 macOS/Linux/Windows 的内核级命令沙箱、可写目录白名单、工具链画像自动扩权都写在 docs/user-guide-sandbox-permissions.md 里。一句话概括读得很宽写得很窄越界必审批。防线二敏感文件拒绝——.env 和私钥连看一眼都不行这是天枢文档里明确强调为fail-closed拒绝并解释而非软提醒的硬闸门核心实现在 sensitive-file-detector.ts。拦哪些文件模式典型例子为什么拦.env及变体.env、.env.local、.env.production.localAPI_KEY、数据库连接串等真实凭证credentials 文件credentials.json、无扩展名的credentials云服务凭证、云 CLI 落盘凭证私钥文件id_rsa、id_ed25519、*.pem、*.keySSH / TLS 私钥包管理器凭证.npmrc、.pypirc、.netrc、.git-credentials明文 token / 密码通用 secret/tokensecrets.json、auth-tokens.json常见凭证命名注意设计上的分寸感.env.example这类模板文件放行、.md文档放行、auth/token-manager.ts这类合法源码放行——只拦真实凭证形态不误伤日常开发。防绕过的细节都是真实攻击形态收敛而来多形态逐一切验path-validate.ts 会对原始输入、词法解析形、realpath规范形逐一过检测scripts/../.env、.env/、大小写变体都逃不掉Windows 特攻NTFS 8.3 短名ENV~1、备用数据流.env::$DATA会被展开还原后再匹配——这些形态曾能原样读出凭据git add命令文本检测detectSensitiveGitAdd 会解析git add参数git add .env直接拦下而git add ./-A这类无法静态枚举的聚合形态会打上聚合哨兵标记转人工确认目录白名单已移除2026-09 起scripts/、fixtures/等整目录白名单被删除——因为scripts/.env这种真实凭证形态曾被整目录放行fail-closed 优先。此外天枢对自身核心区域prompt、context、知识库等还有一层 sensitive-preflight 预检编辑敏感架构文件前必须先读取知识清单防止无上下文的盲改。防线三SSRF 防护——别让网页抓取变成内网隧道让 Agent 抓取网页天然是个 SSRF服务端请求伪造重灾区攻击者只要在页面里埋一个指向http://169.254.169.254云元数据服务或127.0.0.1的链接就可能把内网变成隧道。天枢的对策分三层第一层私有地址全量封禁。ssrf.ts 维护了一份RESERVED_IPV4/RESERVED_IPV6保留段名单回环、内网、链路本地、组播等并对 IPv6 中内嵌 IPv4的三种过渡形态逐一镜像封禁——比如::ffff:0:0:0/96翻译前缀不处理::ffff:0:169.254.169.254就能溜进云元数据服务。任何不可解析的 IP 直接按不可信拒绝fail-closed。第二层逐跳校验 连接钉扎。每次请求、每次重定向都重新解析 DNS 并断言 IP 为公网然后把这个校验过的 IP 钉进连接层buildPinnedLookup——底层连接永远打到校验过的那个地址而不是重新解析主机名。这就堵死了经典的 **DNS rebindingTOCTOU**窗口攻击者先返回公网 IP 骗过校验、再在毫秒级内翻成内网 IP 的戏法在天枢这里失效。详细背景见 docs/changelog/2026-07-09-fetch-dns-rebinding-pin.md。第三层诚实声明边界。若你配置了 HTTP 代理隧道对端 IP 由代理解析、客户端没有校验点此时防护降级为请求前一次性预检官方文档不回避这一点明确标注这是能力边界而非已修复项见 http-fetch.ts 注释与 SECURITY.md。同期还有一批配套加固响应体大小上限、超时、OAuth 请求限流、git ref 注入防护等记录在 docs/changelog/2026-07-10-tool-network-hardening.md。防线四检查点回滚——改坏了怎么办一键还原前三道防线管事前检查点管事后。天枢在会话开始时记录 检查点当时的 git HEAD、已有的脏文件、未跟踪文件。此后 Agent 每碰一个文件都会被记账agentTouchedFiles连bash命令造成的文件副作用也会通过 diff 归入本会话。回滚流程有三个值得新手注意的设计先预览、再确认getRollbackPreview会列出将被恢复/删除的文件并签发一次性confirmationToken——没有经过预览拿不到令牌回滚就不会执行rollbackToCheckpoint只动 Agent 自己的文件会话开始前就存在的脏文件preExistingDirtyFiles被标记为受保护回滚绝不碰你手头的未提交工作不可撤销的副作用会如实告诉你如果 Agent 跑过curl -X POST、发布、git push这类命令检查点会记录unrevertableEffects并在回滚预览里显式警告文件可以还原但这些远程副作用还原不了——官方称之为不说应该修好了的诚实设计。并行会话场景也有保护多个会话共用一个分支时回滚不会去恢复其它活跃会话独占的文件跳过项会明确列出避免你回滚我我覆盖你的互踩。把 4 道防线连起来看防线回答的问题关键源码路径边界Agent 能碰哪些文件path-validate.ts敏感文件拒绝哪些文件碰都不能碰sensitive-file-detector.tsSSRF 防护网络请求能通向哪里net/ssrf.ts net/http-fetch.ts检查点回滚改坏了怎么退回agent/checkpoint.ts四道防线共同构成一个闭环事前用路径边界与敏感文件闸门收窄能力事中用逐跳网络校验挡住横向渗透事后用检查点兜底——每一步的拒绝都有解释每一次回滚都先预览再执行。如果你准备把 AI 编程 Agent 用进生产仓库这大概是目前最完整的安全答卷之一。更多细节可以顺着 SECURITY.md 与 docs/changelog/ 里的加固记录继续深挖。赞分享人工智能大模型AI Agent代码智能体多智能体Agent 记忆MCP ClientsCLI【免费下载链接】Tianshu-harness天枢harness是一个的终端编程智能体它要回答的核心问题是模型何以稳定地交付——目标不漂移、完成有证据、验证有闭环不说应该修好了。为此它在模型与真实世界之间建立一层认知执行环境CVM把目标、状态、证据、资源、权限与终止条件从对话历史中外部化由运行时持续管理。同时对deepseek v4极度优化。项目地址https://gitcode.com/huiliyi37/Tianshu-harness点击查看免费下载相关推荐SoybeanAdmin安全防护XSS、CSRF防护与敏感数据保护SoybeanAdmin安全防护XSS、CSRF防护与敏感数据保护 前言后台管理系统的安全挑战 在数字化时代后台管理系统承载着企业核心业务数据和用户隐私信前端UI组件Foundry Cast 钱包安全加固拒绝逃逸 keystore 目录的账户名路径穿越防护全解析Foundry Cast 钱包安全加固拒绝逃逸 keystore 目录的账户名路径穿越防护全解析 本篇围绕 Foundry 仓库中 cast 子命令的一项区块链开发工具openJiuwen agent-core-java 敏感路径防护PathChecker 单例检查器源码解析与实战指南openJiuwen agent core java 敏感路径防护PathChecker 单例检查器源码解析与实战指南 PathChecker 是 openJ人工智能AI AgentAgent 框架工具调用Agent 工作流RAGMCP Clients强化学习创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考