// 怎么做 · 让 agent 安全地执行
防止 agent 读取 .env、把密钥提交进仓库
agent 能读到的文件，内容就可能进入模型上下文、日志甚至提交记录。要从“少暴露、早发现、快轮换”三方面处理。
核实于 2026-10-102 个官方来源
现象
- API key 出现在提交记录或 agent 日志里
- 收到平台发来的密钥泄露通知
常见原因
- 密钥以明文放在项目目录的
.env里，agent 有读取权限 - 没有提交前扫描
解决步骤
- 用客户端的拒绝规则禁止读取
.env、密钥文件和凭证目录 - 把密钥放进密钥管理工具（如 Vault、Infisical），运行时注入，不落盘到仓库
- 加 pre-commit 扫描：例如
gitleaks git或gitleaks protect（命令以所用版本文档为准），CI 里再扫一遍 - 已经泄露的密钥第一时间在服务商后台作废并重新生成；只删提交记录不够
- 用 trufflehog 扫描完整历史，确认没有其他遗漏
官方参考
2026-10-10 根据官方文档和公开讨论整理，尚未在本站环境复现；与官方文档不一致时以官方为准。