待验证50% 置信事实精确时间
`hermes config set agent.disabled_toolsets '["browser","tts"]'`会把值写为带引号的字符串，而非真正的YAML序列；过滤器期望列表，会静默忽略字符串。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/10/15
首次发现
有效期至：2027/1/13
来源
AI Agent工具Schema精简47%：重复YAML键的隐形陷阱
rss2026/10/15
涉及实体
相关事实
待验证Python 的 safe_load 只能解析单文档 YAML，而 js-yaml 库的 YAML.parse 支持多文档解析及 YAML 锚点、别名和 CloudFormation 的 !Sub 等自定义标签72% 相似待验证YAML规范要求映射中的键唯一，但未强制解析器对重复键报错；PyYAML等主流实现默认采用'后者覆盖前者'策略，保留最后一个值且不产生警告。68% 相似待验证as<T>() 在类型不匹配时会抛出 YAML::TypedBadConversion 异常，LoadFile 在文件不存在时会抛出 YAML::BadFile 异常67% 相似待验证在Ruby中应避免对不可信YAML使用YAML.load，而应使用YAML.safe_load66% 相似待验证SnakeYAML 默认 load() 或 new Yaml() 支持 !! 类型标签，可触发任意 Java 类实例化，对应 CWE-502 不可信数据反序列化漏洞；防御方式是使用 SafeConstructor、Constructor 白名单或 LoaderOptions 限制可解析类型。64% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1034698API
curl https://kongchang.com/api/v1/knowledge/claims/1034698MCP
get_claim(id=1034698)