编码 Agent 会读走你的 API key：我做了个本地检查拦截外发

作者指出编码 Agent 读取文件后，文件内容会成为下一次发往 OpenAI 或 Anthropic 请求的一部分，其中可能包含它并不需要的 API key 或密码。他尝试用本地小模型在输出外发前做一道检查，定位为托管模型的补充而非替代，并坦言本地小模型在常规任务上仍需频繁监督和纠正，因此更适合承担这类窄范围校验。

AI推荐理由 针对编码 Agent 读取文件后把 API key、密码等敏感内容一并发送给托管模型的具体风险，提出用本地小模型在请求发出前做二次检查的思路，切中 AI 编码工具的实际安全痛点；但作者自述本地小模型需频繁监督纠正，方案仍处探索阶段，未给出检测准确率或误报数据。