AI的200状态码是租来的：沙盒环境下的虚假成功

一个 PR 在午夜之后到来，README 声称 API 已经健康运行。编码 Agent 启动了一个进程，请求了它自己的 localhost，把一个 200 当作了服务对所有人都能运行的证明。那个响应在短命的workspace里是真实的，但它对周一等着的那台笔记本什么都没说。审查者盯着打印在主机上的一行绿字，而团队里没有人能重新打开那台主机。

这种模式出现在每个编码 Agent 能执行命令而不只是建议它们的时刻，而且审查者误读了对话记录。开发者把 Agent 的 shell 当成自己笔记本的预览，因为两个会话都讲 bash、渲染相似的字体。这种类比就像酒店健身房代替自家车库，熟悉直到一个螺栓尺寸变了。以下各节的论点是在审查中反复出现的，然后是一个让"租车"变得可见的指纹工作流。

误区：绑定端口意味着服务可移植

Agent 喜欢绑定端口，因为它是一个干净的成功标记，可以干净利落地复制到 README。在sandbox上响应请求的进程不会编码 libc、额外的包、文件布局或用户的组权限。健康检查测量的是一个你无法保留的主机上的瞬间，而不是与结账后仍能存活的合约。把远程 200 当作某些文件曾经运行过一次的证明，然后要求在 CI 或笔记本上再跑一次。

一个有用的修正是不相信无法从分支的干净克隆重放的 README 声明。要求 Agent 提供精确的命令序列、工作目录，以及它在运行期间导出的非秘要环境键。然后用未设置的文档外键在本地执行那个序列，除非它们已经存在于团队的 dotenv 模板中。如果本地运行因为缺少 header 或 sandbox 编造的路径而挂掉，那原来的绿勾只是一个租车。

误区：免费的远程机器是非官方 CI

团队在进度压力下会指着 Agent 日志，就像曾经在演示之后指着个人开发者笔记本一样。持续集成是一个固定的镜像、一个已知的网络策略，以及后续 jobs 可以在不猜测的情况下下载的产物。一个一次性编码 workspace 通常不具备这些属性，即使厂商不收取那几分钟算力的费用。计费和可复现性坐在不同的轴上，所以零美元会话仍然可以是一个不固定的主机，在之后就消失了。

免费模型访问加免费服务器选项让重试看起来很便宜，这混淆了租车和流水线。披露：本文是 MonkeyCode 产品推广的一部分。MonkeyCode 可以托管一个 Agent 会话，拥有免费模型访问和免费服务器选项，而不会把那个会话变成合并基础设施。用远程机器起草变更并捕获指纹，然后把关卡交给团队能命名和保留的 runners。

误区：匹配语言运行时就够了

两边都是 Python 3.12 是一个让人安心的句子，它把编译器、locale 和栈中其余部分的大小写敏感隐藏了起来。操作系统包名和默认文件系统独立于 Agent 粘贴到摘要中的语言版本字符串漂移。Agent 还会编造像 /home/sandbox/work 这样的路径，然后把它们硬编码到在 pull request 里看起来很抽象的脚本中。修正后的模型把运行时版本当作矩阵中的一行，而不是整个矩阵本身。

捕获你能观察到的行且不泄露秘要，包括内核名、架构、包管理器，以及 Agent 实际使用的 lockfile 哈希。不要粘贴环境值；只粘贴排序后的键名，这样审查者能看到假设了 DATABASE_URL 而没有复制其内容。下面的脚本是未执行的提案，你应该阅读它们，然后在本地和在 Agent workspace 里都跑一次。在分支上提交脚本，这样两台主机的哈希是相同的字节，而不是手工即兴生成两份清单。

一个指纹，而不是感觉

bash 脚本打印清单行且避免凭证值，这在远程对话可能被厂商保留的情况下很重要。将 stdout 重定向到以主机角色命名的文件，比如 fingerprint.local.txt 或 fingerprint.agent.txt，然后再比较。保持原始文件远离公开 gist，因为它们会泄露内部主机名，更倾向于只提交一个简短的 diff 摘要。

#!/usr/bin/env bash
# Proposed example: secret-free host fingerprint for agent-versus-laptop diffs.
set -euo pipefail

role="${1:-unspecified}"
echo "role=${role}"
echo "date_utc=$(date -u +%Y-%m-%dT%H:%M:%SZ)"
echo "pwd=${PWD}"
echo "user=$(id -un 2>/dev/null || echo unknown)"
echo "uid=$(id -u 2>/dev/null || echo unknown)"

echo "uname=$(uname -s 2>/dev/null || echo unknown)"
echo "arch=$(uname -m 2>/dev/null || echo unknown)"
echo "kernel=$(uname -r 2>/dev/null || echo unknown)"

if command -v python3 >/dev/null 2>&1; then
  python3 - <<'PY'
import sys, platform
print(f"python={sys.version.split()[0]}")
print(f"python_impl={platform.python_implementation()}")
print(f"platform={platform.platform()}")
PY
else
  echo "python=missing"
fi

if command -v node >/dev/null 2>&1; then
  echo "node=$(node -v)"
else
  echo "node=missing"
fi

if command -v go >/dev/null 2>&1; then
  echo "go=$(go env GOVERSION 2>/dev/null || echo present)"
else
  echo "go=missing"
fi

echo "env_keys=$(env | cut -d= -f1 | sort | tr '\n' ',' | sed 's/,$//')"

for lock in package-lock.json yarn.lock pnpm-lock.yaml poetry.lock uv.lock Cargo.lock go.sum Gemfile.lock; do
  if [[ -f "$lock" ]]; then
    if command -v sha256sum >/dev/null 2>&1; then
      echo "lock_${lock}=$(sha256sum "$lock" | awk '{print $1}')"
    else
      echo "lock_${lock}=$(shasum -a 256 "$lock" | awk '{print $1}')"
    fi
  fi
done

将捕获与一个比较器配对，当 sandbox 和笔记本在团队标记为必需的字段上不一致时让审查失败。下面的 Python 也是一个提案，所以修改必需的键而不是把它们当作通用的。退出状态是审查信号；打印的 DRIFT 行是 pull request 讨论线程中开启对话的起点。

# Proposed example: compare two fingerprint files and exit nonzero on drift.
from pathlib import Path
import sys

REQUIRED = ("uname", "arch", "python", "node")

def parse(path: Path) -> dict[str, str]:
    data = {}
    for line in path.read_text(encoding="utf-8").splitlines():
        if "=" not in line:
            continue
        key, value = line.split("=", 1)
        data[key] = value
    return data

def main() -> int:
    if len(sys.argv) != 3:
        print("usage: compare_fingerprints.py local.txt agent.txt", file=sys.stderr)
        return 2
    local = parse(Path(sys.argv[1]))
    agent = parse(Path(sys.argv[2]))
    failed = False
    for key in REQUIRED:
        lv, av = local.get(key, "absent"), agent.get(key, "absent")
        if lv != av:
            print(f"DRIFT {key}: local={lv} agent={av}")
            failed = True
        else:
            print(f"OK {key}={lv}")
    local_keys = set((local.get("env_keys") or "").split(","))
    agent_keys = set((agent.get("env_keys") or "").split(","))
    invented = sorted(k for k in (agent_keys - local_keys) if k)
    missing = sorted(k for k in (local_keys - agent_keys) if k)
    if invented:
        print("AGENT_ONLY_ENV_KEYS " + ",".join(invented[:40]))
    if missing:
        print("LOCAL_ONLY_ENV_KEYS " + ",".join(missing[:40]))
    return 1 if failed else 0

if __name__ == "__main__":
    raise SystemExit(main())

你粘贴到 Agent 的提示词是同一个提案的一部分，并不保证 Agent 会照做。要求它运行已提交的脚本，写出 fingerprint.agent.txt，然后在启动长期服务器之前停下来作为成功的证明。如果它仍然启动了一个服务器，把它当作关于 Agent 的数据而不是跳过指纹文件的理由。如果它重写了脚本以省略不便的字段，那次重写本身就是一个你应该在审查中引用的发现。

误区：小任务不需要第二次运行

短 diff 是沉默的路径假设藏身的地方，因为没有人想要为一个十二行的辅助函数跑一个流水线仪式。因为 sandbox 已经有 orjson 所以导入它的辅助函数会在只有标准库的发货笔记本上失败。写入 /tmp/agent-out 的辅助函数之后可能与把那个目录当作拥挤走廊的共享 runner 发生碰撞。Diff 大小是环境漂移的一个糟糕的先验，而命令的新颖性和原生依赖是更好的先验。

如果 Agent 触碰了包清单、原生模块、容器文件或任何绑定端口的东西，就跑指纹对。如果它只重写了注释和字符串拷贝，你可以跳过仪式，而不用假装环境被证明是相等的。把这个区分写到审查指南里，这样 Agent 就不会在每次深夜会话中协商规则的时效性。

租车不是走廊

把 Agent 的 workspace 想象成一件租来的乐器，在你到达之前调好，在你离开房间之后重置。你的仓库是乐谱，而你的 CI 镜像是实际为合并打分的音乐厅。免费层会话仍然可以清晰地演奏这首曲子，但也仍然是考试的那个错误的房间，那场考试才是算数的。有用的问题是哪个主机产生了每个声明，以及那个主机明天早上是否还会存在。

只有当本地或 CI 指纹满足必需的键、且两个捕获的 lockfile 哈希匹配时，才进行合并。Agent 独有的环境键必须在模板中记录或在代码中移除，然后分支才符合资格。当 Agent 启动服务器作为证明、sandbox 路径泄露到脚本中、或指纹文件缺失时，让审查失败。当漂移仅限于变更从未调用的工具时带注释通过，并在讨论线程中记录那个例外。

局限性和谁应该跳过

这个工作流不能证明功能正确性、安全性或性能，它只能减少一类"在那儿搞定"错误的出现。如果 Agent 拒绝运行你的脚本，或者远程文件系统在指纹写出之前就消失了，它也不会有帮助。当必需的键太少时，它可能制造虚假安全，因为两个相似的 Linux 机器仍然可能在 libpq 上不一致。当你的变更触及数据库、浏览器或编译器时，扩展必需集合，而不是庆祝一条 OK python 行。

不要用远程编码服务器作为管制数据、生产秘要或客户流量的系统记录。不要把免费算力当作禁用 CI 的许可，以此来节省分支上几分钟的墙上时钟时间。处于气隙产品线上的人应该让远程 Agent 远离关键路径，即使模型本身很吸引人。发布移动或嵌入式产物的团队需要设备覆盖，而主机指纹在合并时不会假装替代那种覆盖。

对于从不触碰仓库的探索性聊天，这个方法是一个糟糕的匹配，因为没有合并关卡需要保护。在这种设置下，指纹比较增加了仪式感，却没有改变稍后在别人机器上会运行什么。一旦文件走向 pull request，仪式比周一因为只存在于他们机器上的端口而失败要便宜。

如果你已经在用远程 workspace 的免费层 Agent 起草，在信任健康检查之前捕获两个指纹。从干净的克隆重放命令，并把任何远程 200 当作租车收据而不是生产证书。只要没有人误把它归档到持续集成下，收据仍然可以是有用的调试笔记。