AI Agent 怎么限制终端和文件权限？按最小权限设定执行边界

结论先说：用系统权限和审批控制 Agent，不要只靠一句提示

能读文件、运行命令或访问网络的代码 Agent，本质上拿到了对应工具的权限。若任务指令错误、仓库里含恶意提示、工具输出被污染或模型误判，Agent 可能读取不该看的文件、覆盖工作或把数据发出。OWASP 把过度授权列为大语言模型应用风险之一；实际防线应是最小权限、隔离环境、操作确认、日志和人工审阅的组合。

权限配置核验日期：2026-10-22。Cursor 安全文档说明其 Agent 可以读写工作区和运行命令，且文件修改会直接落盘；它建议使用版本控制，并支持通过 `.cursorignore` 限制访问。Claude Code 文档提供权限与组织管理配置；Codex 官方安全文档应结合当前版本检查沙箱和审批设置。不同工具默认值会变，升级后要重新核对。

按风险分层授权

第一层是路径：只打开项目目录，不授予整个用户目录、浏览器配置、云凭证或其他仓库；用忽略规则排除 `.env`、密钥、个人资料和大体积生成文件。第二层是动作：先允许只读搜索，再允许工作区内有限写入；依赖安装、网络请求、数据库迁移、删除、提交、推送和部署需要独立审查。第三层是执行环境：使用受限账户、容器或产品沙箱，限制出站网络与挂载卷，按项目需要开放。

第四层是时间和预算：任务完成后撤销临时权限，限制工具调用轮数、运行时长、费用和可并发进程。第五层是审计：记录 Agent 读写的文件、运行命令、网络动作、审批者、测试结果和最终 diff。提示词可以解释边界，但不能替代操作系统权限或工具的审批控制。

一套可直接开始的安全流程

开始时在干净分支或临时工作树中运行，让 Agent 先列计划与相关文件；首轮只给读取权限。确认范围后，再允许修改当前仓库，并要求每次写入后展示 diff。所有外部命令默认需要人工看清完整命令和参数；网络下载、安装脚本、读取环境变量、删除文件、改数据库或发布版本都应按高风险单独确认。不要批准“允许以后所有命令”，除非已理解它对目录、网络和进程的实际覆盖。

对生成的代码，不因测试通过就跳过审查：看改动是否超出需求、是否触碰密钥、是否增加新的网络调用或依赖、测试是否覆盖真实边界。代码仓库里的文档、issue、网页和工具返回都可能包含针对 Agent 的指令；将其当作待分析数据，不能让它们覆盖你已经设定的权限策略。需要外网的任务可临时开白名单或代理，在结束后关闭。

权限方案示例

个人试验仓库：在单独目录中运行，只允许当前工作区读写，文件恢复依赖 Git；终端命令逐个审批。团队项目：通过组织统一策略限制扩展、MCP、网络和允许目录，令牌从密钥管理器按需注入，不写进提示或配置。生产环境：不让通用代码 Agent 直接持有生产凭证；部署通过 CI/CD 审批和短时身份执行，并由人审核变更。

如果某工具不能分别限制读写、命令、网络或工作区，也可以通过容器、操作系统账户、虚拟机和网络策略在外层控制。管理员应定期做权限演练：让 Agent 试图读一个被忽略的文件、访问一个不允许的网址、运行一个会删除数据的命令，确认系统真的阻止或要求确认，而不是只在规则文本里写了禁止。

结论

先限定目录与敏感文件，再逐步开放只读、工作区写入和终端执行；网络、安装、删除、数据库与发布等高影响动作保留人工审批。把 Agent 运行放在可撤销的版本控制或隔离环境中，记录操作并审阅 diff。提示词是说明书，系统权限才是边界。

参考资料（核验日期：2026-10-22）

1. OpenAI Codex Security Documentation
2. Claude Code Authentication and IAM
3. Cursor Agent Security
4. OWASP Top 10 for LLM Applications
5. NIST AI Risk Management Framework