免费服务器运行 AI 生成代码的安全执行规范

廉价生成的代码仍然是不受信任的代码。先在免费服务器上运行，不要放真实凭证，等你花时间review它是否真正可用之前。

大多数团队把免费模型端点和免费服务器当作一种便利。他们生成一个 patch，部署它，然后照常传递环境变量，因为"这样更省事"。

这就是漏洞所在。一个生成的 patch 只需要读取一个环境变量或发起一次网络调用，免费服务器就变成了一个逃逸口。这个 patch 不必是恶意的。它只需要在一个你本地从未触发过的错误路径里打日志记录 process.env。

MonkeyCode 提供免费的模型访问和免费服务器选项。这使得运行大量生成的 patch 变得廉价。但廉价不等于安全。

Disclosure: This article was prepared as part of MonkeyCode's product outreach.

以下规则适用于任何不受信任的生成代码，而不仅仅是某一家的模型。

将免费服务器用作无密钥执行通道

• 用免费模型访问生成 patch
• 仅在免费服务器上放置合成测试数据
• 运行一个 preflight 检查，拒绝 patch 中和运行时环境中的疑似密钥引用
• 仅用假值进行部署和冒烟测试
• 在添加真实凭证之前，先将通过的 patch 晋升到经过审查的环境

顺序很重要。preflight 必须在免费服务器启动之前运行，因为启动之后进程可能已经读取了环境状态或元数据。

在仓库里保留一个小型脚本。它故意设得很保守；根据你的技术栈调整模式。

#!/usr/bin/env bash
set -euo pipefail

# Run before any generated patch goes near a free server.
# The list is deliberately strict. Trim it to your stack, not to bypass a failure.
secret_pattern='(API_KEY|TOKEN|SECRET|PASSWORD|PRIVATE_KEY|DATABASE_URL|REDIS_URL|AWS_ACCESS_KEY_ID)'
log="/tmp/secret_preflight.log"

git diff --unified=0 > /tmp/generated.patch

if grep -En "$secret_pattern" /tmp/generated.patch; then
  echo "generated patch references secret-like names" >&2
  exit 1
fi

env | grep -E "$secret_pattern" > "$log" || true
if [ -s "$log" ]; then
  echo "runtime environment contains secret-like variables" >&2
  cat "$log" >&2
  exit 1
fi

echo "preflight: patch and environment are secret-free"

这个脚本捕获两条路径：

• 生成的 patch 本身通过名称读取了敏感值
• 部署环境已经包含该值，无论 patch 是否引用了它

如果脚本失败，停止。不要争辩说模型"大概"不会使用那个变量。免费服务器不值得获得任何信任。

仅用假值运行

当 preflight 通过后，给免费服务器一组最小的测试值：

DEPLOY_TARGET=free-server \
SMOKE_URL=http://127.0.0.1:8080/health \
EXPECTED_FINGERPRINT=9f2c8a41b3e0 \
./deploy_and_smoke.sh

deploy_and_smoke.sh 应该部署打了 patch 的代码，访问冒烟 URL，将响应哈希与预期指纹比对，然后销毁环境。使用从经过审查的 main 分支记录的良好 fixture，而不是从生成输出中获取。

这与契约测试的逻辑相同，但契约是针对免费服务器运行时的：没有真实凭证、没有真实客户数据、没有继承的云元数据。

为什么这不同于代码审查

代码审查问的是："这个 patch 看起来合理吗？"

preflight 问的是："这个 patch 能否观察到它不应该观察到的东西？"

两者都需要。review 可能漏掉长生成文件中单独的一个 os.environ 调用。preflight 无法验证意图，但它可以让凭证访问变得响亮且阻塞。

这张表格让免费服务器循环易于解释：免费层只有在 patch 和运行时都明显无凭证的情况下才允许运行。

此 Preflight 不是安全审计

模式匹配会漏掉不使用可预测名称的密钥。

它会漏掉从挂载文件、元数据服务或二进制 blob 中读取的密钥。

它会漏掉在安装时获取并运行代码的生成依赖。

它无法阻止 patch 泄露合成 fixture。合成 fixture 应该没有任何价值。

免费服务器仍然可以外传数据。将其网络出口视为可能被监控或阻止的。只运行你愿意丢弃的生成代码。

如果冒烟端点返回时间戳或其他非确定性字段，在哈希之前标准化响应。指纹应该代表契约的稳定部分，而不是墙上时钟的噪声。

谁不应该使用这种方法

在以下情况下不要依赖无密钥 preflight：

• patch 需要生产数据来证明正确性
• patch 涉及认证、计费、权限或数据库迁移
• 模型输出不可 diff，或系统无法生成干净的 patch

对于这些情况，使用更强的隔离边界、人工编写的测试工具链，以及带有完整审计跟踪的受控环境。

最小工作流

对于免费模型加免费服务器的设置，循环很短：

1. 部署前检查 diff
2. 运行 .bin/preflight.sh
3. 用合成 fixture 部署
4. 冒烟测试并销毁
5. 仅审查存活的 patch
6. 在单独的、经过审查的晋升步骤中添加真实凭证

每个步骤都是独立的。如果其中一个失败，你保留了免费计算的优势，而不需要接受通常随之而来的信任成本。

如果你有 MonkeyCode 的免费服务器目标作为部署选项，将无密钥 preflight 作为该管道的第一个步骤。免费运行时是一个有用的探针，而不是可信环境。