وكلاء البرمجة يستطيعون قراءة ملف .env

وكلاء البرمجة بالذكاء الاصطناعي يفتحون الملفات ويشغّلون الأوامر ويعدّلون الكود عبر مشاريع كاملة. وهذا ما يجعلهم مفيدين. ويعني أيضًا أنهم يستطيعون قراءة .env، وملفات الإعداد التي فيها كلمات مرور قواعد البيانات، ومفاتيح SSH في مجلدك الرئيسي، وأي شيء تصل إليه الطرفية.

في معظم الأوقات لا يحدث شيء سيئ. لكن الأسرار قد تنتهي في المحادثة المرسلة إلى مزوّد النموذج، أو في السجلات، أو في commit كتبه الوكيل. وقد تطلب تعليمات مخفية في ملف README أو في بلاغ من الوكيل إرسالها إلى مكان ما.

• استخدم مفاتيح تطوير بصلاحيات محدودة في مشروعك، لا مفاتيح الإنتاج أبدًا.
• اضبط الوكيل ليرفض قراءة ملفات الأسرار وتشغيل أوامر الشبكة دون موافقة. معظم الأدوات تدعم قواعد التجاهل أو الصلاحيات.
• شغّل الوكلاء في حاوية أو حساب مستخدم منفصل مع المستودعات غير الموثوقة.
• احتفظ بفاحص أسرار قبل الـcommit، ليُلتقط المفتاح المتسرب قبل دفعه.