Kilo 安全威胁模型与漏洞报告指南权限系统边界、Server 模式认证与负责任披露实践【免费下载链接】kilocodeKilo is the all-in-one agentic engineering platform. Build, ship, and iterate faster with the most popular open source coding agent.项目地址: https://gitcode.com/GitHub_Trending/ki/kilocodeKilo 是一款在本机本地运行的 AI 编程助手CLI其 Agent 系统具备 shell 执行、文件操作与网络访问等强大能力。本文以仓库根目录下的 SECURITY.md 为核心骨架系统梳理 Kilo 的安全威胁模型、权限系统与沙箱的真实边界、Server 模式的 HTTP Basic Auth 启用方式以及面向安全研究者的漏洞报告与协调披露流程帮助使用者正确评估风险边界、安全研究者合规提交漏洞。Kilo 的安全定位本地 Agent 与权限系统的设计意图Kilo CLI 作为 AI 驱动的编码助手默认在用户本机运行并通过 Agent 系统调用一组能力强大的工具包括但不限于shell 命令执行文件系统读写操作网络与 Web 访问。这意味着 Agent 与用户共享同一套本机权限。理解这一前提是正确使用权限系统、评估安全风险的第一步。权限系统不是沙箱文档明确强调Kilo 的权限系统并不对 Agent 做沙箱隔离。其权限系统实现见 packages/core/src/permission.ts本质上是一个UX用户体验功能在 Agent 执行命令、写文件等操作之前弹出确认提示让用户对 Agent 的行为保持感知并做出选择而不是提供安全隔离能力。从源码结构看权限系统围绕Permission.Request/Permission.Reply的请求-应答模型工作支持Effect、Rule、Ruleset等抽象如{ action: *, resource: *, effect: deny }这样的通配规则并包含DeclinedError、BlockedError、CorrectedError等错误类型用于把用户的“拒绝”“纠正”反馈回传给 Agent。但它并不会限制 Agent 在获准后能触达的系统范围——一旦用户点了允许Agent 就拥有了用户自身的本机权限。因此不要把“确认弹窗”误当作安全边界。若确实需要真正的隔离文档给出的建议是把 Kilo CLI 运行在 Docker 容器或虚拟机VM中。Server 模式可选开启认证完全由用户负责Kilo 的 Server 模式默认是opt-in主动选择开启的且其认证与安全责任全部落在最终用户身上。用 KILO_SERVER_PASSWORD 启用 HTTP Basic Auth开启 Server 模式时应设置环境变量KILO_SERVER_PASSWORD以要求 HTTP Basic Auth。相关认证实现位于 packages/opencode/src/server/auth.ts 与 packages/server/src/auth.ts核心逻辑如下通过EffectConfig.string(KILO_SERVER_PASSWORD)读取密码可选的通过KILO_SERVER_USERNAME配置用户名默认值为kilopackages/server/src/auth.ts中默认opencoderequired()判定密码是否已设置且非空——这是“是否需要认证”的开关authorized()使用常数时间比较经Redacted保护校验username与password是否匹配header()/headers()则把凭据编码为Basic base64(username:password)形式的Authorization请求头供客户端如kilo attach使用。未设置密码时的行为与责任边界文档明确指出如果不设置KILO_SERVER_PASSWORDServer 将以无认证状态运行并给出警告。在这种情况下任何能访问到该端口的调用方都可以直接使用 Server 暴露的功能。从授权中间件实现packages/opencode/src/server/routes/instance/httpapi/middleware/authorization.ts可以看出其防御策略全局层面未设置密码时普通路由直接放行关键路径 fail-closed仓库对高风险端点做了“无认证也强制鉴权”的加固REQUIRED_AUTH_PATHS例如/permission/allow-everything权限全允许开关与/kilocode/snapshot/remove快照删除即便未配置全局密码这些端点也会校验凭据拒绝返回 401 并附带WWW-Authenticate: Basic realmSecure Area响应头认证凭据既可从Authorization: Basic ...头解析也可从auth_token查询参数解析。因此Kilo 官方把“保护 Server”视为最终用户的责任“Server 提供的任何功能本身都不构成漏洞”——因为开启 Server 并暴露 API 访问属于用户主动选择的行为。客户端如何携带凭据根据 CLI 参考文档packages/kilo-docs/pages/code-with-ai/platforms/cli-reference.mdkilo serve启动无头headless的 kilo serverkilo attach连接到正在运行的 kilo server例如kilo attach http://localhost:4096连接时可使用-p, --password指定 Basic Auth 密码默认回退到环境变量KILO_SERVER_PASSWORD。这种设计保证密码不必明文出现在命令行历史中可优先通过环境变量注入。Out of Scope哪些场景不被视为漏洞为了减少误报、聚焦真正有价值的安全问题SECURITY.md 明确列出了不在安全研究范围内的类别与理由类别理由主动开启后的 Server 访问开启 Server 模式后API 可被访问是预期行为沙箱逃逸权限系统本身不是沙箱见上文LLM 提供商的数据处理发送到你所配置 LLM 提供商的数据由其自身政策管辖MCP 服务器行为你自行配置的外部 MCP 服务器位于信任边界之外恶意配置文件配置由用户自己控制修改自身配置不构成攻击向量理解这张表有助于安全研究者把精力集中在真正属于 Kilo 自身信任边界内的问题上例如Agent 在用户未确认时绕过权限确认执行操作、认证机制本身的缺陷、服务器中间件的鉴权绕过等。漏洞报告与协调披露流程Kilo 重视安全研究社区的贡献并认可协调式漏洞披露coordinated disclosure的价值。若你发现了安全漏洞请立即通过以下方式告知发送邮件至 securitykilo.ai附上漏洞细节收到报告后安全团队会确认收到acknowledge并与你协作尽快修复在初始回复之后安全团队会持续同步修复与公开公告的进展并可能向你索取补充信息或指导。重要不接受 AI 生成的安全报告SECURITY.md 开篇即用IMPORTANT强调项目不接受 AI 生成的安全报告。由于此类报告数量庞大而项目没有足够资源逐一评审提交 AI 生成的安全报告将被自动封禁automatic ban。这意味着安全研究者应当基于真实的代码分析、可复现的复现步骤和实际验证来提交报告而不是用 LLM 批量生成疑似漏洞清单。这条规则同样适用于本文的读者若你想为项目安全做贡献请先阅读源码、构造可复现用例再人工撰写报告。实践清单如何安全地使用与贡献综合全文给出可直接落地的操作建议本地日常使用权限确认弹窗是 UX 提示而非安全边界对 Agent 授予的每次 shell / 文件操作保持审视不轻易“全部允许”。需要真正隔离的场景将 Kilo CLI 放进 Docker 容器或 VM 中运行不要在共享主机上裸跑。启用 Server 模式务必先export KILO_SERVER_PASSWORD强密码必要时同时设置KILO_SERVER_USERNAME再启动kilo serve客户端连接用kilo attach配合-p或环境变量传入密码。不做的事不要向 securitykilo.ai 提交 AI 生成的安全报告否则会被自动封禁。想深入了解实现权限核心见 packages/core/src/permission.tsServer 认证见 packages/opencode/src/server/auth.ts鉴权中间件含 fail-closed 高风险端点见 packages/opencode/src/server/routes/instance/httpapi/middleware/authorization.ts。总结Kilo 的安全模型可以浓缩为三句话权限系统是 UX 不是沙箱、Server 模式是用户自担风险的 opt-in 能力务必设置KILO_SERVER_PASSWORD、安全报告必须人工撰写并走协调披露流程AI 生成报告会被封禁。清晰理解这些边界既能避免误用带来的安全风险也能让安全社区把精力投向真正有价值的漏洞。【免费下载链接】kilocodeKilo is the all-in-one agentic engineering platform. Build, ship, and iterate faster with the most popular open source coding agent.项目地址: https://gitcode.com/GitHub_Trending/ki/kilocode创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考