# Code Server AI助手风险说明及安全建议
在使用Code Server AI助手时，存在一定的安全风险。本文以Cline为例，介绍可能出现的风险、影响及应对策略。
表1主要风险说明 
| 风险类型      | 风险描述                                                                                                               | 影响分析                                               | 策略建议                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                               |
|:---|:---|:---|:---|
| 敏感凭证明文存储  | Cline的Code Server设置中，API Key（OpenAI/Anthropic/OpenRouter等）等凭据以明文形式保存在\~/.cline/data/secrets.json中，任何能访问该文件的进程均可读取。 | 明文存储的API Key一旦被恶意扩展或攻击者获取，可直接调用大模型接口，产生未授权消费或数据泄露。 | - 使用环境变量而非直接填入API Key。  - 定期轮换API Key。  - 镜像保存时，请及时清理\~/.cline目录下的配置，避免敏感信息泄露。  - 限制Code Server扩展安装来源，避免恶意扩展读取配置。   |
| 工作区上下文泄露  | Cline在执行任务时会读取项目文件、终端输出等上下文，可能将包含敏感信息（数据库连接串、内部API地址、业务逻辑）的代码片段发送至第三方LLM服务，并且有日志记录。                                | 代码和业务敏感信息被传输至外部服务，存在数据泄露风险。部分LLM提供商可能使用交互数据用于模型训练。 | - 审查.clineignore配置，排除敏感文件。  - 优先选择支持数据不用于训练的LLM提供商。  - 对核心敏感模块避免使用AI辅助编辑。                                                                                                                               |
| 终端命令执行风险  | Cline具备执行终端命令的能力，如果提示词被注入恶意指令，可能导致非预期的系统操作（如删除文件、安装恶意包等）。                                                          | 攻击者通过prompt注入诱导Cline执行危险命令，造成文件损坏、系统被入侵或供应链攻击。     | - 始终开启Cline的命令确认机制，逐条审核后再执行。  - 避免在不受信任的代码库中自动批准命令。  - 定期审查终端执行历史。                                                                                                                               |
| MCP工具调用风险 | Cline支持Model Context Protocol，可连接外部工具服务器，扩展了攻击面。恶意的MCP服务器可能返回注入内容或执行未授权操作。                                         | 恶意MCP服务器可通过返回内容实施prompt注入，或利用工具权限执行越权操作。           | - 仅连接可信的MCP服务器。  - 审查MCP工具的权限范围。  - 对MCP返回内容保持警惕，避免盲目信任。                                                                                                                                           |
   
表2攻击手法与策略建议 
| 攻击手法     | 策略建议                                                                                                                                                                                                                                                                                                                      |
|:---|:---|
| 供应链投毒    | - 对于任何敏感操作（删文件、发邮件、转账），必须设置人工确认步骤。  - 遵循"最小权限原则"，只授予AI完成任务所必需的权限，切勿图省事一键授权。    |
| 间接提示注入攻击 | - 对于任何敏感操作（删文件、发邮件、转账），必须设置人工确认步骤。  - 遵循"最小权限原则"，只授予AI完成任务所必需的权限，切勿图省事一键授权。   |