2026年 AI CLI 編碼代理在獨享遠端 Mac SSH 上的憑證與安全邊界：工作區隔離、Git／雲端 API 與開發者資源的最小權限決策矩陣 + FAQ
把「AI 能寫程式碼」落到「AI 在獨佔遠端 Mac 上只該碰什麼」：從 SSH 工作階段邊界、工作區目錄到 Git 與雲端 API 權杖，用一張最小權限決策矩陣對齊團隊風險承受度，便於寫入 Runbook 與稽核。
1. 引言：CLI 代理不是一般指令稿
AI CLI 編碼代理（Cursor Agent、OpenClaw、各類 codex 風格工具）在本機與在獨享遠端 Mac SSH上的風險面完全不同：遠端節點往往長期上線、持有建置與發佈相關憑證，且工作階段可能被多人或自動化複用。預設「給足權限方便跑通」會在一次提示注入或依賴供應鏈事件裡放大成橫向移動。
本文假設你已採用獨佔租戶／獨佔機器模型（非多使用者共用同一 OS 帳戶跑代理）。在此前提下，我們討論如何把工作區、Git、雲端 API、鑰匙圈與閘道權杖分層，並給出可選路徑而非唯一正確答案。
2. 威脅模型與三條信任假設
在排錯前先寫下團隊願意接受的假設，否則「最小權限」無法落地：
- 假設 A（SSH）：攻擊者可能竊取當前 SSH 工作階段可見的一切（環境變數、可讀檔案、部分程序記憶體）。
- 假設 B（代理程序）：編碼代理會執行不可信程式碼（依賴安裝指令稿、產生 shell），等同「半特權自動化」。
- 假設 C（供應鏈）：
npm/pip/cargo等拉取路徑可能被投毒，代理讀取 README 即可能觸發。
在此模型下，目標是讓「單次失守」的損失被限制在單一工作區 + 單一權杖作用域內。若你還在同一節點混跑自託管 Runner 與互動式代理，建議先釐清無顯示器節點上的閘道與工作階段界線，可參考 如何在無顯示器情況下使用 OpenClaw：2026 年全攻略 ，把 Runner 服務帳戶與互動式開發帳戶拆開。
3. 工作區隔離：目錄、OS 使用者與「可見秘密」
3.1 目錄邊界
為代理單獨劃定 ~/agent-workspaces/<project>（或獨立卷），禁止軟連結到 ~/.ssh、全域 ~/.config 中的敏感檔案。CI 產出物、DerivedData、容器快取與代理工作區實體分離，避免一次 find 把無關金鑰掃進上下文。
3.2 OS 使用者與登入工作階段
若可行，為「僅跑代理」與「僅跑 Runner」使用不同 macOS 使用者：共享同一台機器時，用群組權限或 ACL 暴露最小目錄。SSH 登入到代理使用者時，預設 shell 不要 source 含正式環境 API 金鑰的全域 profile——改由編排層按需注入短期憑證。
3.3 環境變數與 .env
區分三類變數：公開設定（可進倉庫）、個人開發金鑰（僅本機使用者鑰匙圈／secret manager）、組織級金鑰（OIDC／短期 STS，不進長期 env）。代理程序繼承的 env 往往會被子程序與日誌列印——寧可「啟動時注入、任務結束即失效」，也不要在 ~/.zshrc 裡長期匯出高權限權杖。
4. 最小權限決策矩陣（憑證 × 場景）
下表用於評審：「這項權限是否可由更窄的作用域替代」。儲存格中的「推薦」表示在獨享遠端 Mac + AI 代理場景下的預設傾向，仍須結合合規要求調整。
| 資源類型 | 高風險用法 | 推薦替代 | 驗收信號 |
|---|---|---|---|
| Git（HTTPS PAT） | classic token 勾滿 repo+workflow | fine-grained PAT／僅所需倉庫；或 Deploy Key（唯讀） | 權杖無法改組織設定、無 org 級 admin |
| Git（SSH） | 單把金鑰用於所有倉庫與機器 | 每倉庫或每環境獨立金鑰；配合 ssh -o IdentitiesOnly=yes |
ssh-add -l 僅列出預期指紋 |
| 雲端 API（AWS／GCP／Azure） | 長期 IAM User 金鑰寫在 env | OIDC／Web Identity、角色工作階段 ≤ 工作時長 | 稽核中能關聯到單次工作階段／流水線 |
| 容器映像倉庫 | 個人帳號密碼或寬 scope token | robot account + 僅 push 所需 repo | 撤銷 robot 不影響全員開發者帳號 |
| LLM／閘道 | 同一 key 用於開發+正式+多租戶 | 依環境拆分 key；閘道側限流與 IP allowlist | 金鑰外洩可單獨輪換且影響面可陳述 |
| Apple 開發者（簽名／ASC） | 把 .p8 與專用密碼放進代理可讀目錄 | 簽名專用使用者 + 鑰匙圈分區；CI 與互動分離 | 代理預設工作區無法 codesign 正式憑證 |
若你的節點同時承擔 Jenkins 風格 SSH 建置與需要鑰匙圈／公證的流水線，建議把並發與存放策略一併納入評審；可參考 2026年遠端 Mac 無頭公證流水線選型：notarytool、App Store Connect API 與鑰匙圈 Profile 對比 + stapler 與 notarytool log 的 SSH 排錯決策表與 FAQ ，避免「為了省事共用同一服務帳戶」導致權限面疊加。
5. Git 與雲端 API：把「能提交」和「能改雲」拆開
Git：代理最常需要的是「讀程式碼 + 寫分支 + 開 PR」。給唯讀克隆 + fork 工作流往往比給主倉庫寫權限更安全；若必須直推，使用分支保護、required review，且 PAT 不包含 admin:org 類權限。
雲端 API：把「基礎設施變更」從代理預設工具鏈中移除，改為顯式流水線（Terraform／GitOps）執行。若代理確需呼叫雲端 API，使用單次任務角色並限制資源前綴與區域；禁止在提示詞可讀的倉庫中存放長期金鑰。
6. 閘道、SSH 與稽核：三層控制面
SSH 層：優先憑證或短期憑證（SSH-CA），便於撤銷；傳統 authorized_keys 需配合定期輪換與指紋登記。
閘道層（如 OpenClaw Gateway）：權杖僅用於用戶端到閘道，不等同於雲廠商根金鑰；閘道應啟用鑑別、TLS、限流，並與上游 LLM 金鑰分離存放。
稽核層：至少記錄「誰、何時、對哪一工作區、觸發哪類工具呼叫」；金鑰存取與 git push 分開記日誌，便於事後歸因。
7. FAQ
Q1：能不能讓代理讀取整個 ~ 方便一點？
不推薦。家目錄常混入瀏覽器設定、郵件、其他專案金鑰。採用「工作區白名單」：僅掛載專案目錄與明確允許的唯讀路徑。
Q2：direnv／自動載入 .env 是否安全？
對代理而言風險較高：進入目錄即注入秘密，惡意 .envrc 可竊取權杖。可改為明確 source 或由編排注入；並對 .env* 做 pre-commit 與 CI 掃描。
Q3：獨佔機器是否還需要「最小權限」？
需要。獨佔降低租戶間側信道，但不降低供應鏈與提示注入風險；最小權限限制的是代理程序能造成的上限損失。
Q4：如何把輪換做成常規操作而非事故？
為每類金鑰設「負責人 + 輪換週期 + 驗證命令」（如 gh auth status、雲端 STS 試呼叫）。輪換日優先驗證再刪舊金鑰，避免「新舊空檔」。
8. 在 Mac mini 上把安全邊界「做實」
上述分層（獨立使用者、鑰匙圈、LaunchAgent、閘道與 SSH）在 macOS 上能落到系統原生機制：Gatekeeper、SIP 與 FileVault 降低惡意軟體與離線磁碟風險；Apple Silicon 的統一記憶體與極低待機功耗，讓獨享遠端節點可以長期上線做 CI 與代理閘道而無需像傳統工作站那樣頻繁休眠打斷長連線。
對需要 Unix 工具鏈、SSH 與容器並重的團隊來說，Mac mini 體積小、靜音、適合機櫃或桌面 7×24 運行；若你希望把「最小權限 Runbook」跑在穩定、可稽核的硬體上，Mac mini M4 是目前性價比很高的起點——現在即可入手，讓代理只碰該碰的資源。