Code Server AI助手风险说明及安全建议

敏感凭证明文存储

Cline的Code Server设置中，API Key（OpenAI/Anthropic/OpenRouter等）等凭据以明文形式保存在~/.cline/data/secrets.json中，任何能访问该文件的进程均可读取。

明文存储的API Key一旦被恶意扩展或攻击者获取，可直接调用大模型接口，产生未授权消费或数据泄露。

• 使用环境变量而非直接填入API Key。
• 定期轮换API Key。
• 镜像保存时，请及时清理~/.cline目录下的配置，避免敏感信息泄露。
• 限制Code Server扩展安装来源，避免恶意扩展读取配置。

工作区上下文泄露

Cline在执行任务时会读取项目文件、终端输出等上下文，可能将包含敏感信息（数据库连接串、内部API地址、业务逻辑）的代码片段发送至第三方LLM服务，并且有日志记录。

代码和业务敏感信息被传输至外部服务，存在数据泄露风险。部分LLM提供商可能使用交互数据用于模型训练。

• 审查.clineignore配置，排除敏感文件。
• 优先选择支持数据不用于训练的LLM提供商。
• 对核心敏感模块避免使用AI辅助编辑。

终端命令执行风险

Cline具备执行终端命令的能力，如果提示词被注入恶意指令，可能导致非预期的系统操作（如删除文件、安装恶意包等）。

攻击者通过prompt注入诱导Cline执行危险命令，造成文件损坏、系统被入侵或供应链攻击。

• 始终开启Cline的命令确认机制，逐条审核后再执行。
• 避免在不受信任的代码库中自动批准命令。
• 定期审查终端执行历史。

MCP工具调用风险

Cline支持Model Context Protocol，可连接外部工具服务器，扩展了攻击面。恶意的MCP服务器可能返回注入内容或执行未授权操作。

恶意MCP服务器可通过返回内容实施prompt注入，或利用工具权限执行越权操作。

• 仅连接可信的MCP服务器。
• 审查MCP工具的权限范围。
• 对MCP返回内容保持警惕，避免盲目信任。

供应链投毒

• 对于任何敏感操作（删文件、发邮件、转账），必须设置人工确认步骤。
• 遵循“最小权限原则”，只授予AI完成任务所必需的权限，切勿图省事一键授权。

间接提示注入攻击

• 对于任何敏感操作（删文件、发邮件、转账），必须设置人工确认步骤。
• 遵循“最小权限原则”，只授予AI完成任务所必需的权限，切勿图省事一键授权。