Agent coding đang thấy API key của bạn: 4 lớp phòng thủ

Bạn clone một repo lạ về máy, mở agent coding lên và gõ /test. Lệnh test đó vừa chạy với đúng bộ biến môi trường đang giữ API key model của bạn.

Một issue mới trên repo Aider mô tả chính xác đường đi đó. Dưới đây là những gì bản ghi nhận nói, và bốn lớp phòng thủ bạn dựng được trong một buổi chiều.

Issue #5658 chỉ ra hai code path

Theo bản ghi nhận sự cố, GitHub issue #5658 nộp vào Aider-AI/aider truy vết rò rỉ tới hai đoạn code cụ thể, đối chiếu commit 5dc9490bb35f9729ef2c95d00a19ccd30c26339c:

• run_cmd_subprocess() trong aider/run_cmd.py — dùng bởi /run, /test và các lint command đã cấu hình — gọi subprocess.Popen() mà không truyền tham số env giới hạn, nên các lệnh đó thừa kế toàn bộ process environment của Aider.
• Phần xử lý /git làm điều tương tự nhưng tường minh hơn: dựng env = dict(subprocess.os.environ) rồi đưa nguyên bản sao đó cho git subprocess.

Người báo cáo (nick younaman) demo trực tiếp: đặt OPENAI_API_KEY=aider-provider-sentinel, rồi chạy /run test -n "$OPENAI_API_KEY" && echo OPENAI_API_KEY_PRESENT trong phiên Aider. Credential xuất hiện trong process con. Tại thời điểm bài viết được đăng, issue chưa có phản hồi nào từ maintainer.

Bản ghi nhận cũng nói rõ giới hạn của nó: đây là đơn báo cáo của một người, không phải một vụ exfiltration đã được xác nhận ngoài thực tế. Rủi ro có điều kiện — phải có test suite, lint config hoặc git hook do kẻ tấn công kiểm soát (dependency độc hại, repo bị đầu độc) thì mới có chỗ để tuồn key ra.

Không phải chuyện riêng của Aider

Bài viết về policy hook cho Claude Code và Codex đưa ra một con số khác cùng hướng: từ tháng 10/2025 đến tháng 9/2026, issue tracker của Claude Code, Codex, Cline và Gemini CLI gom được 17 báo cáo agent xoá file nằm ngoài project nó đang làm việc. Bài này dẫn Anthropic nói rằng người dùng Claude Code chấp thuận 93% số permission prompt, và gọi đó là approval fatigue.

Cũng bài đó dẫn tài liệu permissions của Claude Code: một Bash deny rule "isn't a security boundary around the program" — vì /bin/rm, bash -c hay git -C . push không trông giống chuỗi bạn đã viết.

Gộp lại: agent chạy bằng shell và credential của bạn, còn hàng rào mặc định là string match cộng một prompt mà đa số người bấm Yes theo phản xạ.

Bốn lớp phòng thủ

1. Cấp key riêng cho agent, hạn mức chi tiêu thấp, xoay định kỳ. Key bị lộ vẫn tốn tiền, nhưng tốn có trần.
2. Đừng để key sống trong shell environment. Nếu tool hỗ trợ đọc key từ file config hoặc keychain thay vì biến môi trường, dùng đường đó — subprocess kế thừa environment, không kế thừa file bạn không cho nó đọc.
3. Mở repo lạ thì chạy agent trong container hoặc devcontainer, với biến môi trường khai báo tường minh. Đây là khuyến nghị kiến trúc, không phải cấu hình copy-paste — mỗi stack một khác.
4. Thay string-match bằng hook quyết định từng tool call. Cách tiếp cận "parse, don't match" trong bài Nomos: tách &&, ||, ;, pipe thành từng lệnh đơn và quyết định riêng; bóc bash -c, sh -lc, pwsh -Command, cmd /c; rút /bin/rm về rm; và từ chối những gì nó không nhìn xuyên được — command substitution, heredoc, eval, sudo, variable expansion.

Theo dõi gì tiếp

Issue #5658 chưa có fix và chưa có maintainer trả lời. Trước khi có bản vá, giả định làm việc an toàn nhất là: mọi lệnh agent shell ra đều nhìn thấy mọi thứ trong environment của bạn. Kiểm tra lint config và git hook trong repo bên thứ ba trước khi gõ /test lần đầu.