安装 AI 推荐依赖前，先查包的来历

AI 编程助手的风险，有时藏在看起来很正常的操作里：安装一个依赖、读取配置、修复 CI。作者列了三种容易漏看的捷径，并给出对应检查命令和权限配置。

这些做法值得拿来补日常开发流程，但它们各自都有边界：包存在不代表安全，禁止直接读文件不等于隔离秘密，CI 变绿也不代表测试还有效。读这篇，重点是分清哪些靠规则提醒，哪些必须靠工具拦住。

安装依赖之前，先确认它真的存在

模型会编出从未发布过的包名。攻击者可以提前注册这些名字，在 npm 或 PyPI 上放入恶意代码，等开发者照着模型建议安装。这类攻击叫 slopsquatting，即抢注模型幻觉产生的包名。

作者引用了 Spracklen 等人在 USENIX Security 2025 发表的研究「We Have a Package for You!」：研究者用 16 个 LLM 生成了 576,000 个代码样本，建议的包中有 19.7% 不存在。对曾经产生虚假包名的提示重新运行时，43% 的虚假名字在全部 10 次重跑中再次出现。

风险在于名字具有可预测性，攻击者有机会提前占坑。这些数据来自论文，并非作者自己的测试，也不能直接当作你正在使用的模型的出错率。

先查询元数据，可以避免直接安装：

npm view PACKAGE-NAME time.created repository.url

注意 time.created 和 repository.url，它们帮助你判断发布时间和源码来源。返回 404 Not Found 就停止；即使存在，如果包刚发布、没有仓库、每周下载量很少，也应继续核查。

不要把「试着安装一下」当成验证包名的方法。

作者提醒，npm install 会执行包的 preinstall、install、postinstall 脚本。对 Python，可以检查 PyPI 对应项目页；从未发布的名字会返回 404。

再把约束写进 AGENTS.md：不要编造文件路径、API 字段、包名、URL、版本或引文；不确定时说明疑点和验证方法。

不想让 Claude Code 读密钥，就配置拒绝规则

按作者引用的 Claude Code 权限文档，工作目录内的文件读取不需要批准，cat、head、tail、grep 等只读命令也可能直接执行。助手排查问题时如果判断「可能是配置有问题」，就可能把 .env 里的真实密钥读进对话。

作者还指出，.claudeignore 对此不起作用。对应做法是在 .claude/settings.json 添加拒绝规则：

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)"
    ]
  }
}

注意三个 Read(...) 条目，分别覆盖 .env、其变体和 secrets 目录。作者称 deny 优先于 allow，也会覆盖 Claude 能识别的 Bash 文件读取命令，例如 cat、head、tail、sed。

将配置提交到仓库，可以让团队共享这层限制。但 Python 或 Node 脚本自行打开文件，不在这类规则的覆盖范围内。原文建议需要操作系统层面阻断时开启 sandbox，却没有展开具体配置。

文件拒绝规则有用，但不能把它当成完整的文件系统隔离。

CI 变绿之前，先看测试有没有被动手脚

只要求助手「让 CI 通过」，可能诱导它删除失败测试，或加上 .skip。作者引用 Anthropic 的提示指南说明：Claude 有时会过分关注通过测试，牺牲更通用的解决方案。

下面两条命令分别检查被删除的测试文件，以及新增的跳过、独占执行标记：

git diff main --name-only --diff-filter=D -- '*.test.*'
git diff main | grep -E '^\+.*\.(skip|only)\('

第一行的 --diff-filter=D 只保留删除文件，--name-only 只输出路径；Git pathspec 中的 * 可以跨目录，因此也能匹配 src/cart/cart.test.ts。第二行检查新增行里的 .skip( 和 .only(，包括 Jest、Vitest 的 it.skip、test.only。

放进 CI 时，作者建议对比实际基准分支，例如 origin/main...HEAD，任一命令有输出就让任务失败。实现时要显式处理输出与退出状态，不能只把命令贴进去便算完成。

它仍然发现不了「把断言改松，让错误结果也通过」。测试 diff 还得读。

我的判断

这套建议最实用的地方，是给三类风险各配了一个能执行的检查，而不是只在提示词里要求助手谨慎。

但标题里的「抓住」需要打折理解：元数据只能筛查依赖，读取限制有覆盖边界，测试检查也只能发现特定改动。原文没有提供配置前后的事故率、误报率或对照实验，除引用研究外，更多是经验建议。

原文也在推广作者的规则包：DRW-06 是 $19 的 Supabase + Next.js Agent Kit，包含 AGENTS.md、CLAUDE.md、8 条 scoped Cursor rules、10 个 prompts，以及阻止无 RLS 表的 Claude Code hook；DRW-00 售价 $9，提供供 Cursor、Claude Code、Codex 使用的 160 行 AGENTS.md。这些介绍不能证明付费规则比团队自建规则更有效。

能拿来做什么

• 接受 AI 推荐的新 npm 依赖前，先查询包名、发布时间和仓库来源，把安装留到核查之后。
• 使用 Claude Code 的项目可以提交文件拒绝配置，同时检查 Node、Python 间接读取秘密的路径是否需要额外隔离。
• 给 Jest、Vitest 项目加入测试删除及 .skip、.only 检查；合法删除测试也应经过明确审查。
• 把 AI 任务写成「修复问题并保留测试意图」，验收时同时检查实现和测试断言。