待验证50% 置信注意事项精确时间
将密钥写入.env文件让Agent直接读取环境变量存在凭证泄露风险，因为Agent在整个会话中持有明文凭证，可能被提示词注入或误写入日志
1
来源数
50%
置信度
长期有效
时效性
2026/9/12
首次发现
来源
涉及实体
相关事实
待验证使用.env文件而非硬编码密钥是工程实践中的基本安全规范，代码中通过dotenv加载.env文件读取环境变量71% 相似待验证使用.env文件管理API密钥而非硬编码是工程安全实践规范，避免密钥随代码提交到Git仓库造成泄露70% 相似待验证Anthropic的Claude在辅助编程时可能生成引用不存在软件包的代码，一旦这些虚构的包名被恶意行为者注册，就可能成为窃取真实API密钥的攻击载体67% 相似待验证提示注入在Agent系统中尤为危险，因为被攻陷的Agent可能拥有发送邮件、删除文件、调用支付API等真实世界权限67% 相似待验证使用本地代理工具接管 AI IDE 流量存在 API 密钥明文存储泄露、代码数据隐私被记录上传、以及中间人攻击等安全风险66% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/910398API
curl https://kongchang.com/api/v1/knowledge/claims/910398MCP
get_claim(id=910398)