AI智能体在你的电脑上跑代码Antfarm安全设计全解析角色隔离与提示注入防护【免费下载链接】antfarmBuild your agent team in OpenClaw with one command.项目地址: https://gitcode.com/gh_mirrors/antf/antfarm当你让 AI 智能体AI Agent在你的电脑上自动跑代码时心里难免会打鼓它会不会乱删文件会不会被恶意指令带偏Antfarm 是一个一条命令即可在 OpenClaw 中搭建 AI 智能体团队的开源工具让规划者、开发者、验证者、测试者、评审者各司其职协作完成功能开发、缺陷修复和安全审计等工作流。正因为它是真在你机器上执行代码的工具安全设计必须放在第一位。本文将带你完整看懂 Antfarm 的角色隔离机制与提示注入Prompt Injection防护策略。为什么让 AI 智能体跑代码要格外小心传统 CI/CD 系统跑的是已知代码而 AI 智能体团队跑的是会自己决策的执行体。风险主要来自两个方向越权操作某个 Agent 做了它职责范围之外的事比如开发者顺手改了自己的考卷提示注入任务描述或仓库内容里藏着恶意指令试图劫持 Agent 行为、突破安全边界、甚至外传数据。Antfarm 的应对思路可以概括为一句话不信任任何单一环节用分工 审查 透明把风险锁死在边界里。角色隔离设计每个 Agent 都是一间独立办公室Antfarm 的每个 Agent 都运行在独立的 OpenClaw 会话和专属工作区中只能访问工作流配置中定义的工具与文件这是角色隔离的第一道防线一人一室互不串门。安装工作流时Antfarm 会在~/.openclaw/workspaces/workflows下为每个 Agent 创建独立工作区并只把该角色的AGENTS.md、SOUL.md等人设文件写进去。工作区文件的落盘逻辑见 src/installer/workspace-files.ts。白名单决定谁能跟谁说话。Antfarm 会向 OpenClaw 配置写入一个子代理白名单tools.agentToAgent.allow只有工作流内的 Agent 才能相互通信外部任意会话无法随意插入这支队伍。这段白名单逻辑在 src/installer/subagent-allowlist.tsAgent 只被允许访问工作流配置声明的资源——不在名单里就不存在。每步都是干净上下文。每个 Agent 都以全新会话启动不继承上一步可能已被污染的上下文从机制上切断了注入指令在步骤之间悄悄扩散的路径。关键岗位验证者绝不批改自己的作业Antfarm 工作流中写代码的developer和验收代码的verifier是两个完全不同的角色。验证者的职责定义在 agents/shared/verifier/AGENTS.md它的人设更是刻进了人格文件SOUL.md只信证据不信口供——我做完了毫无意义测试通过和真实代码才有意义。验证者的验收流程极其严格必须亲自跑git diff看真实改动而不是听上游 Agent 的自述空 diff、只升版本号、改动与声称不符——立即打回测试不过、工作不完整、验收标准未达成——一律STATUS: retry。这种生产者/验证者分离的设计即使某个 Agent 被诱导做了假动作也会在质量关卡被拦下。以功能开发工作流为例完整链路是plan → setup → implement → verify → test → PR → review定义见 workflows/feature-dev/workflow.yml。提示注入防护入库前先过安检如果说角色隔离防的是内部越权那么 Antfarm 对提示注入的防护防的是外部投毒。其核心策略写在 SECURITY.md 中1. 只认官方仓库Curated Repo OnlyAntfarm只从官方仓库安装工作流没有任何从任意 URL、第三方仓库或远程源安装机制——不在这个仓库里就不运行。这直接堵住了诱导 Agent 拉取远程恶意工作流的投毒入口。2. 每个工作流都要做安全审查所有提交包括社区 PR在合并前都会经过专门的安全审查重点检查四类攻击检查项含义 提示注入企图劫持 Agent 行为、覆盖安全边界、窃取数据的指令 恶意技能文件用SKILL.md、AGENTS.md等诱导 Agent 执行危险命令⚡ 权限提升试图访问超出工作流预期范围的资源 数据外泄任何把私有数据发往外部服务的尝试3. 默认透明所见即所得所有工作流都是纯 YAML Markdown 文本没有编译代码、没有混淆逻辑。你在安装前就能逐行读完每个 Agent 到底会做什么——这本身就是对提示注入最有效的人肉防火墙。想了解如何编写自己的安全工作流可参考 docs/creating-workflows.md。运行时再保险连敏感文件都会被盯上Antfarm 的防线不止在安装前还延伸到运行时。验证者 Agent 在验收每个 PR 时会先执行一组不可谈判non-negotiable的安全检查见 agents/shared/verifier/AGENTS.md仓库根目录必须有.gitignore否则直接拒绝扫描 diff 中的敏感文件.env、*.key、*.pem、*.secret、credentials.*等出现任何一个立即打回扫描硬编码凭据password、api_key、DATABASE_URL带真实值的写法一票否决。也就是说哪怕上游 Agent 被诱导顺手把密钥提交进仓库验证关卡也会强制拦截——安全失败永远是拒绝与代码是否可运行无关。小结Antfarm 安全设计清单 ✅防线机制关键位置来源管控仅官方仓库可安装工作流SECURITY.md入库审查提示注入/恶意文件/提权/外泄四查SECURITY.md角色隔离独立会话 独立工作区 通信白名单src/installer/subagent-allowlist.ts职责分离验证者独立验收只认证据agents/shared/verifier/透明可审计纯 YAML Markdown无黑盒workflows/运行时安检敏感文件/硬编码凭据强制拦截agents/shared/verifier/AGENTS.md一句话总结Antfarm 的安全哲学不是相信 AI 会守规矩而是假设它可能失控然后从来源、隔离、审查、验收四个层面把后果限制在最小范围内。想体验它的完整工作流只需一条安装命令curl -fsSL https://raw.githubusercontent.com/snarktank/antfarm/v0.5.1/scripts/install.sh | bash装完之后用antfarm workflow list看看你的AI 员工团队是否就位——每一只蚂蚁都在它该在的蚁室里干活。【免费下载链接】antfarmBuild your agent team in OpenClaw with one command.项目地址: https://gitcode.com/gh_mirrors/antf/antfarm创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考