little-coder安全机制全解权限白名单与Write保护如何防止小模型删库跑路【免费下载链接】little-coderA harness optimized to smaller LLMs项目地址: https://gitcode.com/gh_mirrors/li/little-coderlittle-coder是一个专为小参数量本地模型优化的编程智能体coding agent而它最容易被低估的部分正是那套安全机制Shell权限白名单与Write 保护。小模型不像大模型那样听话——它可能会换个姿势绕过限制、整文件覆盖代码、甚至顺手执行一条危险命令。little-coder 用不到 30 个轻量扩展把风险关进笼子。这篇文章带你完整拆解这套防删库跑路体系的设计思路无需读源码也能理解。为什么小模型需要专属安全机制 ️大模型通常能理解指令边界而小模型更倾向于用各种变通方式达到目的。项目维护者就抓到过几个真实案例Write 工具拒绝写已有文件后小模型转头用cat main.py EOF把整个文件从 Shell 重新灌了一遍一次会话里上演 5 次白名单只检查命令第一个词于是ls rm -rf /因为以 ls 开头差点溜过去拒绝提示太含糊时模型会依次尝试python3 -c、node -e、sh -c……花三轮把限制研究穿。这些问题的共同点光靠提示词约束小模型是不可靠的必须把规则硬编码进执行层。little-coder 的做法是让每个安全机制都做成独立的 pi 扩展在工具真正执行前的tool_call事件上拦截。权限白名单Shell 命令的三道铁律Shell 命令是智能体最大的风险面。little-coder 的 permission-gate 扩展 在命令交给 pi 的确认流程之前先过一遍内置的安全前缀白名单只读类ls、cat、head、tail、grep、find、rgGit 只读子命令git log、git status、git diff、git show常规脚手架cp、mv、mkdir、touch常见解释器与包管理查询python、node、pip show、npm list完整清单见 BUILTIN_SAFE_PREFIXES 定义。注意rm和sudo刻意不在名单里——确实需要时才通过环境变量放行。白名单之上还有两条硬规则都来自真实事故的复盘issue #70规则一链式命令逐个审查不只看第一个词ls rm -rf /这种开头安全、后面致命的命令会被按、||、;、|和换行拆成独立片段逐一判定任何一段不合规整条命令直接拒绝。拆分逻辑在 splitCommandChain 中实现且会正确处理引号——grep a b file里的不会误报。规则二通过 Shell 写文件的命令一律拒绝cat虽然白名单在册但cat main.py EOF本质上就是一次写文件。little-coder 会扫描命令中的重定向、、tee、dd of等一切写通道只要检测到写目标就拒绝并明确告知模型新建文件请用Write改已有文件请用Edit。检测器 detectWriteTargets 相当讲究heredoc 正文先剥离再分析、21这类文件描述符复制不算写、/dev/null这类无破坏性目标直接豁免。规则三拒绝时告诉模型下一步该做什么小模型面对一句干巴巴的 not allowed 只会反复重试。little-coder 的拒绝文案会指名补救措施这条命令被拒、别再用解释器变相重跑、要改文件就用 edit/write、用户可以用LITTLE_CODER_BASH_ALLOW放行。一段写得好拒绝提示本身就是安全机制的一部分见 拒绝理由生成逻辑。Write 保护不让小模型整文件重写 这是 little-coder 白皮书里最重要的实验性机制之一。小模型有个致命习惯改一行代码时把整个文件从记忆里重新吐一遍——上下文一长重写内容就开始丢东西、改乱缩进等于静默破坏你的代码库。write-guard 扩展 把规则定死为运行时不变量Write只允许创建新文件。目标文件已存在时直接拒绝并返回一份照着抄就能用的Edit调用模板把模型引向精确的oldText/newText替换。这个拦截在约 57% 的基准题上触发过直接支撑了 Aider Polyglot 的高分。路径归一化防写错地方。小模型被要求填绝对路径时有时会写出/foo.md这种根目录裸文件名几乎总是笔误。write-guard 会把它重写到当前工作目录下避免往文件系统根目录乱写相对路径也统一锚定到 cwd见 normalizeWritePath。拒绝 Windows 保留设备名。往nul、com1、con这类名字写文件在 Windows 上会留下无法删除的垃圾文件。write-guard 跨平台拦截这些名字比如小模型把nul当/dev/null用的经典错误见 writeVerdict 判定逻辑。Shell 重定向被同样拦截如果只守Write工具小模型会立刻学会走 Shell 后门——这正是 issue #70 的教训。所以 write-guard 挂了两个钩子一个拦write工具一个拦所有 Shell 系工具bash、Bash、ShellSession、ShellStart中的重定向写。两份守卫共享同一个工具清单 SHELL_TOOLS从代码结构上杜绝两个安全组件对工具清单认知不一致的漏洞。追加写不覆盖内容只保留设备名检查。纵深防御先读后改 修改前快照 白名单和 Write 保护之外还有两道补充防线先读后改read-guard-edit本会话没read过的文件Edit一律拒绝。小模型经常凭想象填写oldText要么匹配失败浪费轮次要么匹配错位置造成意外修改。这条不变量强制模型先看清现状再动手。修改前快照checkpoint每次Write/Edit之前文件的原始内容会被备份到~/.little-coder/checkpoints/session/。就算模型改坏了你也能从快照里找回改动前的版本——这是最后一道兜底。系统提示词 AGENTS.md 中还有一条软约束配合硬机制被拒绝的命令就是答案不是障碍——不要试图用别的解释器重跑同一操作。三种权限模式如何按部署环境切换安全等级通过环境变量即可调节松紧度详见 README 的 Permissions 章节环境变量取值行为LITTLE_CODER_PERMISSION_MODEauto默认白名单外的 Shell 命令直接拦截LITTLE_CODER_PERMISSION_MODEmanual每条 Shell 命令弹出确认y/n 手动决定LITTLE_CODER_PERMISSION_MODEaccept-all跳过白名单基准测试运行器专用LITTLE_CODER_BASH_ALLOW逗号分隔的前缀追加白名单前缀如make ,docker compose ps两个容易忽略的细节前缀末尾的空格有意义make 只放行make test这类带参数的命令make连makefoo也放行。即便accept-all跳过了白名单Write 保护仍然生效——Shell 重定向覆盖已有文件的命令照样被拒。这条小模型不整文件重写的保证在无人值守的基准运行中同样成立。工具用法卡片 skills/tools/bash.md 与 skills/tools/write.md 也把这些规则讲给模型听属于硬机制 软引导的组合拳。安全机制拖慢任务了吗不会。这套机制在小模型 消费级笔记本8 GB 显存上跑出了四项基准的成绩Aider Polyglot 78.67%、Terminal-Bench-Core 40.0%、Terminal-Bench 2.0 登上官方榜单24.6%、GAIA 验证集 40.0%。安全拦截本身反而帮模型省了轮次——拒绝提示直接给出正确做法省掉了模型撞墙—绕行—再撞墙的消耗。一图速览little-coder 的安全防线 防线拦截什么实现位置Shell 白名单非白名单命令rm、sudo等permission-gate链式命令审查ls rm -rf /式伪装splitCommandChainShell 写检测、、tee、dd of写文件detectWriteTargetsWrite 保护整文件重写、/foo.md误写、设备名write-guard先读后改编辑未读过的文件read-guard-edit修改前快照改坏了也能回滚checkpoint写在最后little-coder 安全机制的核心哲学可以概括为一句话对小模型提示词是建议扩展层才是法律。白名单管住能执行什么Write 保护管住能写什么先读后改管住改得对不对快照管住错了怎么办——四层防线层层递进让小模型在 8 GB 显存的笔记本上也能安全自主地干活。想动手看看每一层怎么实现从 README 的 Architecture 章节 顺着扩展目录逛一圈就懂了。【免费下载链接】little-coderA harness optimized to smaller LLMs项目地址: https://gitcode.com/gh_mirrors/li/little-coder创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考