待验证50% 置信观点精确时间
AI 编码助手通常持有代码库读写权限、能调用 Shell 执行命令、可访问环境变量中的密钥，因此恶意插件可在初始化时窃取凭证或植入后门。
1
来源数
50%
置信度
长期有效
时效性
2026/10/12
首次发现
来源
涉及实体
相关事实
待验证AI生成代码时可能为让代码运行而将密钥硬编码进源文件，若未经审查提交会成为永久的API密钥泄露隐患74% 相似待验证AI Agent运行于本地环境，被授予基础文件系统操作权限，能够自主读取和写入文件并自动化执行测试73% 相似待验证AI 编程代理在执行敏感步骤（如读写文件、运行命令、安装依赖）前往往需要用户手动确认权限请求73% 相似待验证编程类AI Agent读取的不可信文本远多于聊天机器人，来源包括代码仓库文件、issue、依赖README、抓取网页、MCP工具返回结果等71% 相似已验证AI生成涉及配置、认证、部署相关的代码时，开发者必须逐行人工审查以确保没有硬编码密钥71% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1009961API
curl https://kongchang.com/api/v1/knowledge/claims/1009961MCP
get_claim(id=1009961)