PostHog 想把 Agent 变成默认安装器，安全负责人却觉得它“有点像恶意软件”

导读

让 Agent 进入用户代码库、安装依赖并修改文件，怎样控制它能做什么？PostHog 的 Sarah Sanders 介绍 Wizard 接入工具的安全设计：提示词负责引导，命令白名单和沙箱约束执行，密钥通过 vault 隔离；团队还在 Skill 构建发布和加载时扫描内容，防止上游文档被植入恶意指令。开源扫描器 Warlock 对输入返回发现、严重程度和建议，由调用它的产品根据上下文决定阻断或警告。规则使用确定性匹配并配正反测试，语言模型只辅助减少误报，不能推翻阻断。团队还发现子 Agent 会为完成任务尝试寻找密钥，最后关闭了这一功能。Sarah 强调，攻击可能跨越多个看似正常的组件，安全审查因此需要沿完整数据流检查权限和执行顺序。