1. 本地裸跑 AI Agent 到底在赌什么AI Agent 和普通聊天机器人的区别在于它真的会动手。读写文件、执行 shell、装第三方 Skill、调外部 API这些能力叠在一起等于把一个有手有脚还有你钥匙的陌生人请进了系统。你让它整理桌面它可能顺手把~/.ssh也读了一遍你装了个来路不明的 Skill它可能在后台把环境变量里的 Key 打包发走。我见过太多人的开发机是这样的全局~/.zshrc里躺着 OpenAI、Anthropic、云厂商、数据库的 KeyAgent 用当前用户身份跑工作目录直接是~/。这套配置在能跑通这件事上没问题但在出事这件事上等于裸奔。第三方 Skill 的审计覆盖率远没有你想的高思科那份报告里 26% 这个数字不是吓唬人的——它意味着你随手装的四个插件里可能就有一个带着不该有的东西。问题的根子不在 Agent 本身而在权限边界和凭据暴露面。裸跑意味着 Agent 继承了你当前用户的一切能读的文件、能连的网络、能拿到的环境变量。一旦某个环节被污染损失是整机级别的。所以这篇要解决的不是怎么让 Agent 跑起来而是怎么让它跑起来的同时最坏情况下也伤不到主机。思路两条用 Docker 把运行环境关进沙盒用 TaoToken 统一 Key 把凭据从本地环境里挪出去。下面直接给可复制的配置。2. 用 TaoToken 统一 Key 收口凭据先说清楚 TaoToken 在这里扮演什么角色。它是一个统一的模型接入层你只需要在它这边维护一份 Key各个 AI 工具Agent、编辑器插件、CLI都通过它来调模型。官网在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 。为什么这对安全加固重要因为裸跑场景下每个工具都要你填一份原始厂商 Key这些 Key 散落在.env、settings.json、shell 配置里暴露面成倍放大。收口到 TaoToken 之后本地只留一个 Key而且这个 Key 可以随时在控制台吊销重发不用去每个厂商后台挨个换。操作路径很直接进控制台 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite 创建 API Key然后在 API Keys 页面 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 管理这些 Key 的生命周期。文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 接入细节都在里面。关键原则这个 Key 不进全局 shell 配置只通过 Docker 的环境变量注入且不写进镜像。下面第三节的 compose 骨架就是按这个原则搭的。3. 可复制的 Docker 沙盒配置3.1 Dockerfile 骨架基础镜像选一个精简的别用带一堆预装工具的臃肿镜像攻击面越小越好。下面这份可以直接改FROM python:3.11-slim # 建一个非 root 用户Agent 全程用它跑 RUN useradd -m -u 1000 agentuser WORKDIR /app # 只装运行必需的依赖别把整个工具链搬进来 COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt # 代码以 agentuser 身份持有 COPY --chownagentuser:agentuser . . USER agentuser # 默认不暴露 shell按需覆盖 CMD [python, -m, your_agent_entry]这里有两个点值得强调。一是USER agentuser容器内进程不是 root就算 Agent 被诱导执行了提权命令能碰的东西也有限。二是--no-cache-dir减少镜像层里残留的构建缓存降低信息泄露面。3.2 docker-compose 骨架compose 负责把沙盒的边界画清楚挂载哪些目录、给什么权限、注入哪些环境变量。services: agent-sandbox: build: . container_name: agent-sandbox env_file: - .env volumes: # 只挂载专用工作区绝不挂载 ~ 或 /Users - ./ai_workspace:/app/workspace working_dir: /app/workspace # 只读根文件系统需要写的目录单独挂 read_only: true tmpfs: - /tmp # 去掉所有多余能力 cap_drop: - ALL security_opt: - no-new-privileges:true # 限制资源防止被当矿机 mem_limit: 2g cpus: 1.5 network_mode: bridgeread_only: true配合tmpfs是个好组合容器根文件系统不可写Agent 想改系统文件改不动临时文件走内存盘重启即清。cap_drop: ALL把 Linux capabilities 全砍掉no-new-privileges防止进程通过 setuid 提权。这几条加起来容器逃逸的难度会高一个量级。3.3 .env 环境变量清单.env只放运行必需的变量且这个文件要进.gitignore# TaoToken 统一 Key唯一凭据 TAOTOKEN_API_KEYsk-你的key TAOTOKEN_BASE_URLhttps://taotoken.net/api # Agent 运行参数 AGENT_WORKSPACE/app/workspace AGENT_LOG_LEVELinfo # 明确不注入任何原始厂商 Key # 不要在这里写 OPENAI_API_KEY / AWS_SECRET_ACCESS_KEY 等注意最后那行注释不是摆设。很多人图省事把原始 Key 也塞进来那统一 Key 的意义就没了。.env里只留 TaoToken 这一个凭据其他一律不出现。3.4 settings.json 接入片段如果你的 AI 工具比如某些编辑器插件或 CLI走settings.json配置接入 TaoToken 的片段长这样{ model_provider: { base_url: https://taotoken.net/api, api_key_env: TAOTOKEN_API_KEY, models: { default: claude-sonnet-4-5, fast: claude-haiku-4-5 } } }关键在api_key_env它读的是环境变量名不是把 Key 明文写进配置文件。这样配置文件可以进版本库Key 留在.env里两边分离。如果你用的是 Claude Code 这类工具接入方式在 https://taotoken.net/ClaudeCodeAnthropic?utm_sourcetaotoken_aicg_blog_endutm_contentClaudeCodeAnthropicutm_campaignrewrite 有对应说明。4. 验证请求与密钥不落盘配置写完不算完得验证两件事Agent 能正常调模型以及 Key 确实没落到不该落的地方。4.1 验证模型调用先起容器docker compose up -d docker compose exec agent-sandbox bash在容器里发一个最小请求确认 TaoToken 通路正常curl -s https://taotoken.net/api/v1/messages \ -H x-api-key: $TAOTOKEN_API_KEY \ -H anthropic-version: 2023-06-01 \ -H content-type: application/json \ -d { model: claude-haiku-4-5, max_tokens: 64, messages: [{role: user, content: ping}] }返回里有正常的content字段就说明通了。如果报 401先查.env里的 Key 有没有被 compose 正确加载报 404 多半是 base_url 拼错。想快速验证模型可用性也可以直接在模型对话页 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_contentmodel-chatutm_campaignrewrite 发一条消息对照。4.2 密钥不落盘自检这一步是重点。在容器里执行# 确认环境变量存在但不该出现在文件里 env | grep TAOTOKEN # 扫描工作区和常见配置路径确认没有明文 Key grep -r sk- /app/workspace 2/dev/null grep -r TAOTOKEN_API_KEY /app --include*.json 2/dev/null第一条应该只输出环境变量本身第二条和第三条应该没有任何输出。如果 grep 到了东西说明 Key 被写进了某个文件得回去查是哪个环节漏了。再确认容器内进程身份whoami # 应该是 agentuser不是 root id # uid1000没有 sudo 组4.3 容器逃逸自检做几个基础探测确认沙盒边界生效# 尝试写根文件系统应该失败 touch /test_write echo 警告根文件系统可写 || echo OK根文件系统只读 # 尝试挂载应该失败 mount -t tmpfs none /mnt 21 | head -1 # 查看 capabilities应该为空 capsh --print 2/dev/null | grep Current: || cat /proc/self/status | grep Capread_only和cap_drop配对了的话前两条都会失败第三条显示 capabilities 被清空。这些不是万能的逃逸检测但能挡住绝大多数低级越权尝试。5. 本篇常见错排查容器起不来报 permission denied多半是read_only: true之后某个目录需要写权限。检查你的 Agent 是不是要写日志或缓存把这些路径单独挂tmpfs或可写卷别直接关掉read_only。环境变量在容器里读不到compose 的env_file路径是相对 compose 文件所在目录的。确认.env和docker-compose.yml同级且.env里没有多余空格或引号。TaoToken 返回 401Key 可能被吊销或复制时带了空格。去 API Keys 页面 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 重新生成一个注意复制完整。Agent 说找不到工作目录working_dir和volumes的挂载点要对齐。上面配置里挂到/app/workspaceworking_dir也是它两边不一致就会出问题。grep 扫到了 Key最常见的原因是 Agent 把环境变量写进了自己的日志或状态文件。检查 Agent 的日志配置把敏感字段做脱敏或者把日志目录也设成tmpfs。想跑长期编码任务但容器资源不够mem_limit和cpus按需调但别直接去掉限制。如果任务确实重考虑用 Coding Plan https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 这类面向持续编码场景的方案配合沙盒跑更稳。6. 把不可控关进可控的边界回到最开始的问题为什么我不建议直接在电脑上跑 AI Agent因为裸跑等于把权限边界交给了一个你没法完全审计的程序。Docker 沙盒解决的是它能碰什么TaoToken 统一 Key 解决的是它能拿到什么凭据两件事叠起来最坏情况下的爆炸半径才可控。这套配置不是让你从此高枕无忧而是让你在装下一个第三方 Skill 的时候心里有底就算它有问题也翻不出这个笼子。凭据收口到一个可吊销的 Key环境隔离到一个只读的容器剩下的就是正常用。如果你还没建 Key从控制台 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite 开始接入细节卡住了就翻文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 。先把沙盒跑通再往里放 Agent顺序别反。
