AI生成的Shell命令需像MR一样审查

AI 会话中最危险的不是它写的函数，而是你因为「看起来合理」而直接复制到终端运行的 shell 命令。一旦你把生成的 one-liner 粘贴进 shell，就等于在没有任何审查的情况下把一个未审核的变更合并到了你的机器上，而且往往比你代码仓库的任何一个分支拥有更多的权限。你真正可以得出的结论很简单：把每一个 AI 建议的 shell 命令当作一次 Merge Request，先在隔离的临时环境中运行一遍，对比实际发生了什么变化和你原本的意图是否一致，在此之前不要让它触碰你的真实状态。

"用眼瞟一眼"之所以失效，原因不在于命令被藏起来了。生成的命令通常是可以读懂的，甚至还有注释，但危险在于字符串本身看不到的"附带效应"。一个 pip install 可能会升级你当前环境中的共享依赖；一个 find . -name '*.tmp' -delete 如果工作目录发生了漂移，可能会删除你预期目录之外的文件；一个 git clean -fdx 如果运行目录高了一级，可能会删除你需要的被忽略文件。重定向和环境变化使问题进一步复杂。你可能注意到了一个明显的 rm -rf，却仍然漏掉了包管理工具末尾的 --force，或者一个 curl | bash 会在运行时执行远程服务器发送的任意内容。这和人们现在对 AI Agent 持有文件系统或浏览器工具时的担忧是同一类风险，只不过这里的 Agent 就是你自己——把命令粘贴进去的那个人。

这个 preflight 工作流足够小，可以形成习惯。当从模型获得一个 shell 命令时，分两部分要：命令本身，以及一句话的"意图说明"，说明什么应该改变、什么不应该改变，以及命令允许触碰哪些目录或服务。如果有免费模型访问，你可以在同一条 prompt 里让模型生成意图说明，让模型反复修订命令直到说明足够精确。然后把命令交给一个小型的 preflight 脚本，该脚本不会在你的真实 HOME 上执行，而是在一个临时目录中重定向 HOME、TMPDIR 和工作目录，执行命令并设置短超时，然后对前后文件做哈希，这样你就能看到具体发生了什么变化。你不是在寻找命令"安全"的证明，而是在寻找一份可以与意图说明对比的 diff。

下面是一个简洁的 Python preflight 脚本，你可以放在 bin 目录里，在任何 Unix 机器上运行。它故意做得很简单：拦截几个明显的危险 token，在临时目录中运行命令，并报告退出码以及创建和变更的文件。它是一个差异收集器，而不是沙箱——周围的文字说明比代码本身更重要。

#!/usr/bin/env python3
import os, sys, subprocess, tempfile

def walk(root):
    for dirpath, _, filenames in os.walk(root):
        for name in filenames:
            yield os.path.join(dirpath, name)

def hash_file(path):
    try:
        with open(path, "rb") as f:
            data = f.read()
        import hashlib
        return hashlib.sha256(data).hexdigest()
    except OSError:
        return "unreadable"

blocked = ("rm -rf /", ":(){", "sudo ", "mkfs", "dd if=")
command = sys.argv[1]
if any(token in command for token in blocked):
    print("blocked by preflight token check")
    sys.exit(2)

with tempfile.TemporaryDirectory(prefix="ai-preflight-") as temp:
    env = {**os.environ, "HOME": temp, "TMPDIR": temp, "PWD": temp}
    before = {p: hash_file(p) for p in walk(temp)}
    try:
        proc = subprocess.run(
            ["bash", "-lc", command],
            cwd=temp,
            env=env,
            capture_output=True,
            text=True,
            timeout=20,
        )
    except subprocess.TimeoutExpired:
        print("timed out; do not run this command on real state")
        sys.exit(3)
    after = {p: hash_file(p) for p in walk(temp)}
    print(f"exit={proc.returncode}")
    print("created:", sorted(after.keys() - before.keys()))
    print("changed:", sorted(p for p in before.keys() & after.keys() if before[p] != after[p]))
    if proc.stdout:
        print("stdout:", proc.stdout[-400:])
    if proc.stderr:
        print("stderr:", proc.stderr[-400:])

用生成的命令作为单个带引号的参数运行它，然后像读代码审查意见一样读输出：创建的文件列表是否与意图说明一致，变更文件列表中是否有任何无法解释的内容。一个在临时目录中创建了 lock 文件的包管理命令大概没问题；但以某种方式触及了你真实 home 或项目目录的命令就不行，这就是为什么这个脚本应该是第一个信号，而不是最终许可。对于任何执行网络变更、删除数据或使用凭证的操作，你需要更强的隔离边界，比如容器或带有网络出口限制的专用 VM，而且你仍然需要人工审查。

这就是免费模型和免费服务器选项变得实用而非宣传噱头的地方。如果你已经通过模型生成命令，你可以用免费模型访问来生成配对的意图说明，而无需增加一次付费调用，然后用免费服务器选项来保持 preflight runner 在调试会话期间可用，而不必把检查绑定到你的笔记本上。披露：本文是 MonkeyCode 产品推广的一部分。此工作流不依赖 MonkeyCode；同样的脚本适用于任何模型和任何机器。但免费访问消除了跳过检查的两个常见借口：额外一次模型往返的成本，以及运行检查的地方的成本。

在接受使用这种方法之前，你应该认清一些明确的限制。临时目录不是沙箱。命令仍然可以访问绝对路径、读取环境变量、发起出站请求，或者以逃逸上述小重定向的方式修改全局包缓存。静态 token 检查很容易通过间接手段、编码或多阶段下载器绕过。在空白的临时目录中运行正常的命令，在你的真实项目中可能会失败，因为 preflight 没有复现出准确的状态、已安装的工具或网络条件。因此，这个脚本不适合用于触碰生产系统、迁移真实用户数据或需要 secrets 的命令；这些应该走与代码部署相同的变更管理流程，包括同行评审和适当的预发环境。不应该使用这种方法的人，是想要用一条命令来宣告 AI 建议是安全的人——因为这样的命令不存在。

这个工作流有价值，正是因为它将默认值从"信任"改成了"证据"。当 AI 返回一个看似合理的 shell 命令时，你不再问它"看起来安全吗"，而是问"观察到的 diff 是否与预期的 diff 匹配"。这个小小的转变就足以捕获通常造成损害的附带效应，而且一旦 preflight 脚本进入你的 PATH，每次耗时不到一分钟。下一次你想粘贴 AI 生成的一个 one-liner 时，先用它跑一遍，如果报告的 diff 与你的意图不符，就删掉这条命令，而不是在你的真实机器上调试它。