在开源协作与自动化代理（Agent）日益普及的今天，Codex AGENTS.md 作为定义 AI 代理行为准则的核心配置文件，其安全性往往被开发者忽视。许多团队认为只要不提交密钥到 Git 仓库就万事大吉，却忽略了 AGENTS.md 文件本身可能成为攻击者的“情报库”。本文旨在揭示关于 Codex AGENTS.md 敏感信息保护的常见误区，帮助开发者构建更安全的 AI 交互环境。
误区一：将配置逻辑等同于业务逻辑
最常见的错误是将 AGENTS.md 视为普通的文档或脚本。实际上，它指导着 AI 如何调用工具、访问哪些 API 以及处理何种数据。如果文件中硬编码了 AWS Access Key、数据库连接字符串或内部 API Endpoint，一旦该文件被意外推送到公共仓库，后果不堪设想。即使使用了环境变量引用，若未正确配置 CI/CD 管道的权限隔离，AI 代理仍可能在运行时通过日志或错误堆栈泄露这些敏感上下文。正确的做法是遵循“零信任”原则，假设任何存储在代码库中的配置都可能暴露，仅允许最小必要权限的访问。
误区二：忽视 Prompt 注入引发的数据外泄
除了静态的配置泄露，动态的输入风险同样严峻。AGENTS.md 定义了代理的行为边界，但如果用户输入包含精心构造的 Prompt 注入攻击，攻击者可能诱导代理忽略安全指令，从而输出受保护的内部数据。例如，攻击者可能要求代理以 JSON 格式重新格式化某段包含敏感信息的日志。因此，保护敏感信息不仅在于加密存储，更在于对代理进行严格的输入清洗和输出过滤。开发者应确保 AGENTS.md 中包含明确的“拒绝响应”指令，禁止代理在处理未知来源的数据时执行高风险操作。
建立主动防御机制的最佳实践
为了彻底规避风险，建议采取以下措施：首先，使用专门的秘密扫描工具（如 TruffleHog 或 GitGuardian）定期扫描包含 AGENTS.md 的项目，确保无硬编码凭证。其次，采用动态配置管理方案，将敏感参数存储在 Vault 等安全密钥管理服务中，仅在运行时由代理按需获取，且不在本地持久化存储。最后，在 AGENTS.md 中明确写入数据隐私合规条款，限制代理对 PII（个人身份信息）的处理能力，并启用审计日志以追踪所有涉及敏感数据的操作请求。通过这些步骤，才能真正确保 AI 代理在高效工作的同时，守住企业数据安全的底线。
