在 AI 代理（AI Agents）的演進過程中，工具的形態正從單純的瀏覽器對話視窗，轉向直接運行在開發者本地端（Endpoint）的「外殼」程式（Harness）。Anthropic 推出的 Claude Code 即是典型代表，它不再僅僅是回答問題，而是能直接讀取本地文件、執行 Shell 指令，並透過 MCP（Model Context Protocol，一種讓 AI 能與外部數據源與工具標準化連接的協議）呼叫第三方工具。
這種設計讓開發者能將繁瑣的重複勞動外包給機器，但對企業安全團隊而言，這將 AI 的權限從受控的雲端環境直接推向了開發者的工作站。根據 Token Security 的研究，約 68.6% 的 AI 代理運行於本地端，且這些代理通常會繼承使用者的憑證、網路位置與存取權限。這意味著一旦 AI 代理被操縱或配置錯誤，其造成的破壞力將等同於一名擁有完整權限的開發人員。
核心技術脈絡：外殼（Harness）與大模型的分離
要理解 Claude Code 的安全風險，首先必須區分大語言模型（LLM）與外殼（Harness）的不同角色。LLM 就像是「大腦」，負責處理數據、分析邏輯並下達指令，但它本身並不具備狀態，也不直接與作業系統互動。而外殼則是「身體」，包含手腳與感官，負責接收 LLM 的指令、執行 Bash 命令、處理身份驗證並連接 MCP 伺服器。
目前的安全困境在於，大腦運行在 Anthropic 的雲端，但身體卻運行在企業的終端設備上。傳統的 SaaS 管理模式傾向於透過中央控制台監控所有活動，但本地外殼的運作高度分散。在 2026 年 8 月之前，企業對本地代理的實際行為缺乏足夠的可視性，往往只能依賴第三方擴充功能來達成最低限度的治理。
三層防禦體系：從策略到可視化
為了填補監控漏洞，安全治理需要建立一個由淺入深的三層數據收集體系，將靜態政策、動態記錄與終端狀態相結合。
第一層是管理設定（Managed Settings），這屬於策略基線。透過在 Mac、Linux 的 JSON 文件或 Windows 的登錄檔中寫入紀錄，管理員可以強制執行組織級的規則，例如設定 MCP 伺服器的允許/拒絕清單，或使用正規表達式（Regex）限制特定的 Bash 指令。然而，靜態政策缺乏上下文意識，無法判斷某個指令在特定情境下是否合理，容易成為開發流程中的阻礙。
第二層是 Compliance API（合規性 API）。Anthropic 在 2026 年 8 月 11 日推出了針對本地會話（Local Sessions）的新端點，允許安全團隊獲取會話元數據與完整的對話紀錄（Transcripts）。由於外殼在每次與模型互動時都必須傳送完整的上下文，因此所有傳送到模型的資訊——包括使用者提示詞、工具呼叫（tool_use）與工具執行結果（tool_result）——都會被記錄在 Compliance API 中。透過解析這些紀錄，企業可以建立 AI 代理的清單，追蹤其使用的技能（Skills）、插件（Plugins）及 MCP 伺服器。
第三層則是僅終端設備才能提供的數據。Compliance API 只能記錄「發生了什麼」，但無法得知「設備上存在什麼」。例如，儲存在硬碟上的配置文件、未被呼叫的插件 .md 說明文件，以及在會話之外啟動的進程，都必須透過 EDR（Endpoint Detection and Response，端點偵測與回應系統）或本地掃描工具來獲取。
監控限制與實務挑戰
儘管有了 Compliance API，安全治理仍面臨顯著限制。首先是數據覆蓋範圍的問題：如果使用者將 Claude Code 連接至非 Anthropic 的模型（如透過 Bedrock 或 Google Cloud 運行），Compliance API 將完全失效。其次，部分本地操作（如 Hook 鉤子函數）在指令到達模型前就已執行或被攔截，這類行為不會出現在 API 紀錄中，必須依賴 OpenTelemetry（一種開源的追蹤與度量標準）來補足。
此外，會話紀錄本身也成了新的安全風險。Claude Code 預設將會話歷史儲存在本地 30 天，若設備被入侵，攻擊者可直接讀取這些包含敏感資訊（PII）或金鑰的紀錄。
影響與治理觀點
單純的遙測數據（Telemetry）只能告訴我們「發生了什麼」，而真正的治理（Governance）需要將信號與身份（Identity）掛鉤。目前的技術層面仍無法自動區分一個從網路下載的惡意插件，與一名工程師撰寫的合法插件。
要解決這個問題，企業必須將終端數據與內部代碼庫（Repository）進行比對，確認運行中的技能與插件是否經過審核。將 AI 代理的行為與其所有者、目的、憑證及權限路徑相連結，才能實現「最小權限原則」，並在代理完成任務後及時撤銷權限。身份管理（Identity）才是將零散的端點數據轉化為可執行安全控制的核心控制平面。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。