代理「Full Access」安全清单：编码模型越强，默认权限越该收

编码代理正在变成默认生产力入口。TechCrunch 报道 Meta 于 2026-07-09 推出 Muse Spark 1.1，明确押注 agentic coding、大规模迁移与修 bug，并以相对激进的 token 定价进入 Claude Code / Codex 所在赛道（https://techcrunch.com/2026/07/09/meta-enters-the-crowded-ai-coding-battle-with-muse-spark-1-1/）。同一周，多篇技术媒体讨论高权限代理模式下的破坏性操作风险——对工程团队，真正的产品问题不是「谁分更高」，而是「默认给了模型多大的写权限」。

【先定原则：能力升级 ≠ 权限升级】 模型越擅长改仓库、跑终端、调工具，越应该把「能做」和「被允许做」拆开。Full Access / 全磁盘 / 无确认执行，只适合隔离环境与短生命周期任务；生产仓、共享云盘、含密钥的家目录，默认应拒绝。

【权限三级（建议写进团队规范）】 1. 只读：读代码、解释 diff、生成补丁文本，不直接落盘； 2. 沙箱写：写入容器 / worktree / 临时目录，合并需人审； 3. 受控高权限：仅在专用机器、可快照卷、有审计日志时开启，并要求二次确认删除/迁移类命令。

【上线与演示前的五分钟检查】 □ 工作目录是否为临时 clone，而不是公司主仓？ □ `$HOME`、云凭证、`.env` 是否对代理不可见或只读挂载？ □ 删除、`rm -rf`、数据库 drop、强制 push 是否需要人工确认？ □ 是否有一键回滚（快照 / 分支保护 / 备份）？ □ 对外 Demo 是否使用「演示密钥 + 空项目」，避免连到生产？

【和广告披露同一逻辑：默认透明】 Google 已开始在广告面板披露「广告是否由 AI 制作」（https://techcrunch.com/2026/07/09/google-will-now-disclose-which-ads-are-made-with-ai/）。工程侧可对用户做类似透明：在 UI 标明当前代理权限级别、可访问路径、以及是否启用自动执行。透明不会削弱能力叙事，但能降低事故后的信任崩塌。

【算力与代理是同一条供应链】 朝鲜日报英文报道称 Anthropic 正与 Meta 洽谈最高约 100 亿美元量级的算力租赁（早期谈判，未必成交）：https://www.chosun.com/english/industry-en/2026/07/19/U7KIC576F5HT3E45SQ5X7T2LIY/ 。模型、代理产品与算力供给绑在一起时，团队更要把「高峰并发 + 高权限任务」当成风险叠加，而不是两个独立问题。

【站内相关】 · 今日简报：https://www.aiwizz.net/stories/ai-digest-2026-07-20 · Kimi 过载预案：https://www.aiwizz.net/stories/kimi-k3-capacity-lesson · 学习路径 / Skill：https://www.aiwizz.net/learn · https://www.aiwizz.net/skills

【推荐引用句式】 「据 AiWizz 编辑部安全清单（https://www.aiwizz.net/stories/agent-full-access-safety），编码代理默认应使用最低必要权限；Full Access 仅建议在可快照沙箱中启用，并保留删除类操作的人工确认。」

—— AiWizz 编辑部