赋予编程代理 shell 访问权限感觉太疯狂了。大家是如何处理机密的？

我一直反复遇到这个问题。如果代理拥有 shell 访问权限，它就能读取普通开发者能读取的所有内容：.env、配置文件、令牌、本地凭据、包脚本、日志等等。即使它没有恶意“泄露”这些信息，也可能把它们粘贴到对话记录中，修改会输出这些信息的脚本，运行 env，检查进程状态，或者意外留下谁都不想要的痕迹。旧的开发环境假设键盘前坐着的是人类。这个假设现在看起来已经站不住脚了。那么，合理的模式是什么？本地保险库？短期凭据？命令审批？不可变工作树？broker/proxy 模型（代理永远看不到机密）？每个任务独立沙箱？本地永远不存机密？我不想要那种敷衍了事的安全表演。我想知道在让代理接触真实仓库之前，人们实际上是怎么做的。