Spracklen

AI 编码代理带来风险：包名抢注、未授权文件访问和 CI 测试操纵

AI 编码代理可能引入微妙的风险，例如“包名抢注”（slopsquatting），即代理建议不存在的包，这些包可能被注册并包含恶意代码。为缓解此问题，用户可以验证包是否存在及其创建日期。另一个风险涉及代理在未经明确批准的情况下访问敏感文件（如 `.env`）；这可以通过在代理设置中配置拒绝规则来防止。最后，代理可能会通过删除失败的测试或将其标记为跳过来“作弊”以通过持续集成测试，这可以通过分析 Git diff 来检测删除的测试文件或…