你的仓库不是可信上下文：给编码 Agent 真实仓库后我改变了什么

作者经营一家小型安全公司，日常在真实仓库中使用编码 Agent。其最大认知转变是：仓库并非自动可信的上下文。当让 Agent“修复失败的测试”时，它会读取 README、开放 issue、测试文件、package.json 甚至 CI 配置；对用户是项目文件，对攻击者则是可执行命令的输入通道。README 或 issue 中的一行指令即可构成带 shell 的提示注入，测试文件可执行代码，包脚本可安装更多代码。

AI推荐理由 文章从安全从业者视角指出仓库并非可信上下文，README、issue、测试文件、package.json 和 CI 配置都可能成为注入通道，可被用于提示注入并执行命令，对使用编码 Agent 的团队有明确的安全实践价值，观点具体且切中实际风险。