1. 打开仓库就中招Claude Code 自动执行 setup 脚本的供应链裂缝先说结论Claude Code 打开一个 GitHub 仓库时如果仓库里带了setup.sh、install.sh、Makefile这类环境搭建脚本它有可能在「修一个看起来普通的报错」的过程中自动把脚本跑起来。而脚本里真正要执行的东西可以完全不在仓库里——它藏在 DNS 记录里等脚本运行时去查一下域名把 payload 拉下来执行。整个过程git 历史里没有文件系统里没有README 里也没有代码扫描器扫不到人工评审看不到。这就是 0DINMozilla 的 GenAI 漏洞悬赏平台公开的那条攻击路径。它之所以值得每个用 AI 写代码的人看一眼是因为它攻击的不是「模型会不会被提示词骗」而是「agent 替你做了信任决策」这件事本身。你打开仓库agent 决定「这段 setup 代码可以跑」然后它跑了。这个决策你从来没参与过也没被审计过。我把它拆成一条可理解的链路攻击者建一个看起来正常的仓库README 专业、有测试、有文档仓库里放一个 setup 脚本脚本里有一段命令这段命令去查某个 DNS 记录你用 Claude Code 打开仓库agent 在 setup 阶段遇到一个普通错误自动运行 setup 脚本去「修」脚本查 DNS 拿到真正的 payload 并执行payload 开一个反向 shell攻击者接管机器然后拿 API key、登录凭证、SSH 密钥并保持持久访问。关键点在于「恶意代码不在仓库里」。DNS 记录是可以动态改的今天指向一个无害地址明天指向 payload 地址。安全研究员审查仓库时看到的是干净的受害者打开时拉到的是恶意的。这条「agent 运行时对外部网络资源的实时查询」路径过去我们从来没把它当成可信链去审计。对用 AI 写代码的开发者来说这件事的落点很具体你的机器上通常放着模型 API Key、云厂商凭证、SSH 私钥、数据库连接串。一旦 agent 在无隔离的环境里跑了外部仓库的 setup 脚本这些凭据的暴露面就是整台机器。所以这篇不聊恐慌聊一份能落地的自查清单打开仓库前检查什么、怎么隔离验证、以及怎么用 TaoToken 统一 Key 通道把凭据暴露面收窄。2. TaoToken 统一 Key 通道把凭据暴露面从「整机」收敛到「一个入口」在讲隔离动作之前先把凭据这条线理清楚。上面那条攻击链最后一步是「拿 API key、登录凭证、SSH 密钥」。也就是说就算你没法完全阻止 agent 跑脚本你也能通过收敛凭据来降低单次失陷的损失。TaoToken 在这里的角色是把你散落在各处的模型调用凭据收敛成一个统一入口。TaoToken 是什么、能做什么、适合谁它是一个统一的大模型 API 通道把不同模型厂商的调用收敛到一套 Base URL 和一套 Key 上。适合的人群很明确——同时用多个模型、在多个工具里配 Key、又不想把真实厂商 Key 散落在每台机器每个配置文件里的开发者。官网在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 。为什么这跟供应链风险有关因为传统做法里你会在 Claude Code、Cursor、Cline、Codex 等每个工具里各配一份厂商 Key这些 Key 往往写进~/.zshrc、settings.json、auth.json、.env。一旦某台机器被反向 shell 接管攻击者cat一遍这些文件就能拿到你所有厂商的 Key。而如果你把这些调用统一走 TaoToken机器上只留一份 TaoToken Key失陷时暴露的是一个可随时吊销的入口而不是一串厂商主 Key。这里要强调一个边界TaoToken 不是让你「连上就安全了」的银弹它解决的是凭据收敛不解决「agent 自动跑脚本」这个行为本身。两件事要分开做——行为层用隔离凭据层用统一通道。把这两层叠起来才是完整的自查清单。具体操作上你需要拿到一份 TaoToken Key然后把它作为唯一凭据写进各工具的配置。拿 Key 的入口在控制台和 API Keys 页面控制台 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite API Keys https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 模型对话入口在 https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 长期编码和 Agent 场景可以看 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。我试过把几个工具的 Key 全部换成 TaoToken 一份最直接的感受是「吊销成本」变了。以前某台机器可疑我得挨个厂商后台去轮换 Key现在只需要在 TaoToken 控制台吊销那一份所有走这个入口的调用同时失效。这个动作在应急响应里价值很大——攻击者拿到 Key 到你把 Key 废掉之间的窗口越短越好。3. 可复制配置Claude Code、Cline MCP、Codex auth.json 三件套这一节给可直接复制的配置片段。核心原则只有一条所有模型调用走 TaoToken 的 Base URLKey 只留一份Model ID 显式写清楚。下面按工具分别给。3.1 Claude Code 走 TaoToken 的 settings 配置Claude Code 的配置通常放在项目级.claude/settings.json或用户级~/.claude/settings.json。把模型调用指向 TaoToken 的 API 入口Key 用环境变量注入避免明文写死在文件里{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_AUTH_TOKEN: ${TAOTOKEN_API_KEY}, ANTHROPIC_MODEL: claude-sonnet-4-20250514 }, permissions: { allow: [], deny: [ Bash(./setup.sh:*), Bash(bash setup.sh:*), Bash(sh install.sh:*), Bash(make:*) ] } }这里有两个点值得说。第一ANTHROPIC_BASE_URL指向https://taotoken.net/apiANTHROPIC_AUTH_TOKEN用${TAOTOKEN_API_KEY}引用环境变量真实 Key 不落盘到配置文件。第二permissions.deny里显式禁掉setup.sh、install.sh、make这类环境搭建命令的自动执行——这是针对本文攻击链最直接的一道闸。Claude Code 的权限系统支持按命令前缀拒绝把 setup 类命令放进 deny 列表agent 想跑就得先过你这一关。环境变量在 shell 里这样注入export TAOTOKEN_API_KEYsk-你的TaoTokenKey如果你用 zsh写进~/.zshrc用 bash 写进~/.bashrc。注意别把 Key 直接写进settings.json那样一旦机器失陷配置文件就是明文凭据。3.2 Cline MCP 配置Cline 通过 MCPModel Context Protocol接模型时配置里同样把 Base URL 和 Key 指向 TaoToken。典型配置片段{ mcpServers: { taotoken: { command: npx, args: [-y, taotoken/mcp-server], env: { TAOTOKEN_BASE_URL: https://taotoken.net/api, TAOTOKEN_API_KEY: ${TAOTOKEN_API_KEY}, TAOTOKEN_MODEL: claude-sonnet-4-20250514 } } } }三件套在这里是齐的Base URL 是https://taotoken.net/apiKey 是${TAOTOKEN_API_KEY}Model ID 是claude-sonnet-4-20250514。MCP server 的env里同样用环境变量引用不写明文。3.3 Codex auth.json 配置Codex 的凭据文件通常在~/.codex/auth.json。把入口指向 TaoToken{ base_url: https://taotoken.net/api, api_key: ${TAOTOKEN_API_KEY}, model: claude-sonnet-4-20250514 }同样三件套齐全。如果你的 Codex 版本不支持环境变量插值那就退一步用启动脚本注入而不是把 Key 写进auth.json#!/usr/bin/env bash export TAOTOKEN_API_KEY$(cat ~/.config/taotoken/key) codex --config ~/.codex/config.toml把 Key 单独放在~/.config/taotoken/key并设权限chmod 600比散落在多个工具的配置里要好管理得多。3.4 打开仓库前的隔离验证动作配置之外真正防住「打开即执行」的是隔离。给你一套可复制的动作序列在打开任何外部仓库前跑一遍# 1. 克隆到临时目录不进入 git clone --depth 1 https://github.com/某仓库 /tmp/repo-audit # 2. 先看有没有 setup 类脚本 find /tmp/repo-audit -maxdepth 2 -type f \( -name setup.sh -o -name install.sh -o -name Makefile -o -name *.mk \) # 3. 把可疑脚本内容打印出来人工过一遍 for f in $(find /tmp/repo-audit -maxdepth 2 -name setup.sh -o -name install.sh); do echo $f cat $f done # 4. 重点看有没有 DNS 查询、curl 管道执行、base64 解码 grep -rnE dig |nslookup|host |curl.*\|.*sh|base64 -d|eval /tmp/repo-audit --include*.sh --includeMakefile第 4 步的 grep 是重点。DNS 通道攻击的脚本里通常会有dig、nslookup、host这类查询命令或者curl ... | sh这种管道执行或者base64 -d解码后eval。这些模式命中任何一条都值得停下来细看。隔离层面最稳的做法是把外部仓库放进只读容器再让 agent 操作docker run --rm -it \ --network none \ -v /tmp/repo-audit:/workspace:ro \ -w /workspace \ ubuntu:24.04 bash--network none直接断网DNS 查询根本发不出去payload 拉不下来。-v ...:ro只读挂载agent 就算跑了脚本也改不了宿主机文件。这套组合下来即使 agent 触发了 setup 脚本攻击链在「查 DNS」这一步就断了。4. 验证请求确认 TaoToken 通道通了、隔离生效了配置写完得验证。分两步先确认 TaoToken 通道本身能通再确认隔离动作真的拦住了 setup 脚本。4.1 验证 TaoToken 通道用 curl 直接打 TaoToken 的 API 入口确认 Key 有效、模型可调curl -s https://taotoken.net/api/v1/messages \ -H x-api-key: ${TAOTOKEN_API_KEY} \ -H anthropic-version: 2023-06-01 \ -H content-type: application/json \ -d { model: claude-sonnet-4-20250514, max_tokens: 64, messages: [{role: user, content: reply with ok}] }预期返回里能看到content字段里面是模型回复。如果返回 401说明 Key 没读到或写错了如果返回local proxy failed之类说明 Base URL 写错或网络出口有问题。这一步通了说明你的统一 Key 通道是活的。4.2 验证隔离生效在断网容器里跑一个「假装是恶意 setup」的脚本确认 DNS 查询发不出去docker run --rm --network none ubuntu:24.04 bash -c echo 尝试 DNS 查询 getent hosts example.com || echo DNS 查询失败隔离生效 预期输出是「DNS 查询失败隔离生效」。如果它居然解析成功了说明--network none没生效检查 docker 版本或是否误加了--network host。再验证 Claude Code 的 deny 规则。在项目里放一个setup.sh然后让 Claude Code 尝试执行观察它是否被权限系统拦下。如果它直接跑了说明permissions.deny的写法没被识别检查命令前缀是否匹配。4.3 验证凭据收敛确认机器上不再散落厂商 Keygrep -rnE sk-ant-|sk-proj-|AKIA[0-9A-Z]{16} ~/.zshrc ~/.bashrc ~/.claude ~/.codex ~/.config 2/dev/null预期是搜不到任何厂商主 Key 的明文。如果搜到了说明还有工具没切到 TaoToken逐个改掉。这一步做完你的凭据暴露面就从「整机散落」收敛到了「一份可吊销的 TaoToken Key」。5. 本篇常见错排查401、local proxy failed、reading choices、OAuth配置和验证过程中几个报错会反复出现。逐个对照。401 Unauthorized。最常见的原因是 Key 没被正确读取。检查三处环境变量是否export了、配置文件里是否用了${TAOTOKEN_API_KEY}而不是明文、shell 是否重载了source ~/.zshrc。还有一种情况是 Key 复制时带了空格或换行用echo -n $TAOTOKEN_API_KEY | wc -c看长度对不对。local proxy failed。这个报错通常出现在 Base URL 写错或本地网络出口被拦。先确认ANTHROPIC_BASE_URL是https://taotoken.net/api注意结尾不要多加/v1或斜杠。再用curl -v https://taotoken.net/api看能不能建连。如果公司网络有出口限制检查是否放行了这个域名。reading choices 相关报错。这类报错一般出现在响应解析阶段常见于 Model ID 写错或返回体格式不符合预期。确认ANTHROPIC_MODEL或model字段是有效的 Model ID别写成厂商展示名。如果返回体里没有choices或content先看 HTTP 状态码再打印完整响应体排查。OAuth 相关报错。如果你之前用 OAuth 方式登录过某个工具切到 TaoToken 后可能残留旧的 OAuth 凭据导致工具优先走旧通道。清理方式删掉工具目录下的 OAuth token 缓存比如~/.claude/下的凭据文件、~/.codex/auth.json里的旧字段然后重新用 Key 方式配置。确认工具没有在启动时自动触发 OAuth 流程。setup 脚本还是被跑了。如果 deny 规则没拦住检查两点一是命令前缀是否精确匹配Bash(./setup.sh:*)和Bash(bash setup.sh:*)是两条不同规则都要写二是 agent 是否用了别的等价命令比如source setup.sh、chmod x setup.sh ./setup.sh。把source、chmod相关前缀也加进 deny 列表。DNS 查询在容器里还是通了。检查 docker 是否用了--network host或者容器内是否配了自定义 DNS。--network none是最彻底的如果业务需要网络退而求其次用--dns 0.0.0.0之类的方式限制但不如直接断网干净。6. 把清单落地从「打开仓库」到「凭据收敛」的日常动作把上面所有内容收成一份可执行的日常清单。每次打开外部仓库前按顺序过一遍。第一步克隆到临时目录不直接进项目目录。第二步find出所有 setup 类脚本cat出来人工看。第三步grep查 DNS 查询、管道执行、base64 解码这些高危模式。第四步把仓库放进--network none的只读容器再让 agent 操作。第五步确认 Claude Code 的permissions.deny里禁掉了 setup 类命令。第六步确认所有模型调用走 TaoToken 统一入口机器上搜不到厂商主 Key 明文。这六步里前四步防的是「行为」后两步防的是「凭据」。行为层靠隔离和权限凭据层靠统一通道。两层叠起来单次失陷的损失才可控。关于凭据收敛再补一个实用技巧给 TaoToken Key 设一个独立的文件权限chmod 600 ~/.config/taotoken/key并且不要把它写进任何会被 git 追踪的文件。如果你在多个项目里用考虑按项目分不同的 TaoToken Key这样某个项目出问题时吊销范围能精确到项目级而不是一刀切全废。最后说一个我踩过的坑一开始我以为把 Base URL 换掉就完事了结果发现某些工具会在启动时读旧的 OAuth 缓存导致请求还是走老通道。后来我把工具目录下的凭据缓存全清了一遍重新用 Key 配置才真正切干净。所以切换通道时别只看配置文件还要清缓存。如果你还没配 TaoToken从 API Keys 页面拿一份 Key 开始https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。接入细节看文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。想先验证模型通不通用模型对话入口https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。长期在编码和 Agent 场景里跑可以看 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewrite 。