如何阻止本地终端的 AI 工具将源代码泄露到外部

如今，宣称能提升后端开发者生产力的 AI Agent 非常流行。虽然它们确实很方便，但这些工具的工作方式往往是抓取整个本地代码库并将其发送到外部服务器。许多初创公司在云基础设施安全上花费数亿韩元，却对开发者计算机终端实时发生的出站数据流视而不见。安全事故发生后的善后成本是预防成本的 13 倍以上。仅仅发布公告禁止使用特定工具毫无效果，因为开发者总能找到绕过的方法。我们需要在系统层面建立物理阻断传输路径的实用防御墙。

1. 在操作系统层面限制 AI 进程的出站连接

AI CLI 工具会以索引为借口彻底搜查本地文件系统。随后，为了将分析结果发送到外部服务器，它们会尝试打开出站端口。我们必须在 OS 内核层面直接监控并切断这些尝试。以下是针对 macOS 和 Linux 环境隔离流量的具体设置。

在 macOS 上使用 LuLu 防火墙仅允许经过授权的代理

在 macOS 上，我们使用开源防火墙 LuLu。LuLu 作为系统扩展（System Extension）运行，通过将规则存储在 /Library/Objective-See/LuLu/rules.plist 中，在内核层面控制流量。利用 CLI 控制工具 lulu-cli，可以默认封锁未授权 AI 工具的外部连接，并仅允许通过公司许可的网关。

`bash

1. 首先默认封锁所有进程的新出站连接。

sudo lulu-cli add --key "" --path "" --action block --addr "" --port ""

2. 仅允许向经过公司安全审查并构建的专用代理服务器（例如：api.approved-ai-proxy.com）进行 443 端口通信。

sudo lulu-cli add --key "/usr/local/bin/ai-agent" --path /usr/local/bin/ai-agent --action allow --addr "api.approved-ai-proxy.com" --port 443

3. 重载 LuLu 系统引擎以应用设置的规则表。

sudo lulu-cli reload

一旦启用该规则，任何试图向未授权外部域名发送代码的行为都会立即被拦截。这样可以降低公司知识产权被非法泄露的风险。

在 Linux 上使用 iptables 基于账号的规则进行网络隔离

在 Linux 服务器或本地开发机上，可以利用 iptables 的 Owner 模块，将运行 AI 工具的账号本身隔离在网络之外。

`bash

1. 允许 AI 专用的本地回环（lo）及已建立的会话（ESTABLISHED），以确保构建工具正常运行。

sudo iptables -I OUTPUT 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -I OUTPUT 2 -o lo -j ACCEPT

2. 拒绝所有来自运行 AI 工具的专用系统账号（例如 UID 1002）发出的新出站请求。

sudo iptables -I OUTPUT 3 -m owner --uid-owner 1002 -m conntrack --ctstate NEW -j REJECT

完成此设置后，AI Agent 与本地数据库会话之间的内部通信（IPC）将正常运行，但直接向外部互联网发送数据包的路径会被完全封锁。

2. 建立与配置管理分离的全局 .aiignore 策略

许多组织依赖 .gitignore 来防止远程传输，但这是一个非常危险的想法。市面上众多的智能 AI Agent 和索引引擎，为了获取项目构建结构，往往被编码为能够绕过本地的 .gitignore 设置。Agent 甚至可以通过执行标准 shell 命令读取重要的凭证文件内容。这就是为什么需要一套独立于配置管理规则之外的全局排除策略。

应用针对工具的排除策略文件

在项目根目录下分别创建 JetBrains 专用 .aiignore、Cursor 专用 .cursorignore 和 Aider 专用 .aiderignore 文件，并写入需要阻止外部传输的环境变量和密钥文件路径。

`
**/.env
**/*.pem
**/config/credentials.json

如果是使用 Anthropic Claude Code 的开发环境，则必须直接创建 .claude/settings.json 文件，并如下所示明确指定 permissions.deny 设置。这能在制定阶段防止 Agent 绕过本地工具执行权限来读取信息。

`json
{
"permissions": {
"deny": [
"Read(./.env)",
"Read(./.env.)",
"Read(./**/.pem)",
"Read(./config/credentials.json)",
"Bash(cat .env)",
"Bash(grep -R *)"
]
}
}

使用全局环境变量作为双重防御盾

为了防御开发者忘记在个别项目文件夹中创建排除文件的情况，应在全局 shell 配置文件（~/.zshrc 或 ~/.bashrc）中添加全局排除环境变量。

`bash
export AIDER_IGNORE="/.env,/.env.,**/.pem,/secrets/*,/id_rsa"

强制将代码仅运行在容器化虚拟开发环境（Dev Containers）内部，而非本地主机驱动器上，也是一种非常确切的隔离方法。

3. 在本地 Hook 和 CI/CD 流水线中强制禁用 AI 遥测

根据数据安全平台 Cyberhaven 的分析，知识工作者上传到外部大语言模型（LLM）的数据中，有 11% 属于企业源代码和敏感机密文档。仅靠开发者个人的注意力无法降低这一数值。在执行本地提交（Commit）之前，必须部署自动化校验脚本，检查开发环境设置，如果不符合安全标准，则直接取消本次提交。

校验 AI 安全规范的 Git pre-commit 脚本

将以下 Bash 脚本放置在项目的 .git/hooks/pre-commit 路径下。它会自动检查开发者的 VS Code 遥测传输设置是否已关闭，以及必需的 ignore 文件是否存在。

`bash
#!/usr/bin/env bash
set -euo pipefail

EXIT_CODE=0
PROJECT_ROOT="$(git rev-parse --show-toplevel 2>/dev/null || pwd)"

echo "=== [STAGE 1] 验证 AI 工具遥测是否已禁用 ==="

VSCODE_SETTINGS=" ${PROJECT_ROOT}/.vscode/settings.json" if [ -f "$ {VSCODE_SETTINGS}" ]; then
TELEMETRY_LEVEL= $(grep -o '"telemetry.telemetryLevel"[[:space:]]*:[[:space:]]*"[^"]*"' "$ {VSCODE_SETTINGS}" | cut -d'"' -f4 || true)
if [ "${TELEMETRY_LEVEL}" != "off" ]; then
echo "[ERROR] ${VSCODE_SETTINGS} 文件内缺失遥测阻断设置(off)。"
EXIT_CODE=1
fi
fi

echo "=== [STAGE 2] 验证必需的 AI 排除文件是否存在 ==="

REQUIRED_IGNORES=(".cursorignore" ".aiderignore" ".aiignore")
for ignore_file in " ${REQUIRED_IGNORES[@]}"; do if [ ! -f "$ {PROJECT_ROOT}/${ignore_file}" ]; then
echo "[ERROR] 项目根目录下缺少必需的排除过滤器文件 ${ignore_file}，存在泄露风险。"
EXIT_CODE=1
fi
done

if [ ${EXIT_CODE} -eq 0 ]; then
echo "[SUCCESS] 已满足所有本地 AI 安全配置要求。"
else
echo "[FAIL] 发现不符合公司开发安全准则的设置。"
fi

exit ${EXIT_CODE}

检测到流量泄露时启动的紧急网络切断开关

这是假设开发机检测到异常大流量出站时的紧急切断开关脚本。它会立即切断本地连接，并使用信号 9 终止驻留中的 AI Agent 守护进程。

`bash
#!/usr/bin/env bash
set -euo pipefail

echo "[CRITICAL ALERT] 本地开发节点发生异常流量。正在隔离网络。"

if command -v lulu-cli &> /dev/null; then
sudo lulu-cli add --key "" --path "" --action block --addr "" --port ""
sudo lulu-cli reload
echo "[STATUS] 已将 macOS LuLu 防火墙更改为全局出站阻断状态。"
elif command -v iptables &> /dev/null; then
sudo iptables -P OUTPUT DROP
sudo iptables -F OUTPUT
echo "[STATUS] 已将 Linux iptables 出站默认策略设置为 DROP。"
fi

pkill -9 -f "cursor" || true
pkill -9 -f "aider" || true
pkill -9 -f "claude" || true

echo "[COMPLETE] 本地主机的威胁因素已被隔离。"

在全公司开发基础设施中落实此级别的校验环境，可以将以往浪费在人工监管和控制开发者方面的管理资源减少 80% 以上。

4. 建立符合数据分级标准的内部准则

实际上，企业的资产泄露事故更多源于员工的轻微误用，而非黑客的高超渗透技术。典型的例子是 2023 年春季，三星电子半导体设备解决方案（DS）部门的工程师将设备设计日志和数据库全文直接输入到 ChatGPT 对话框中，导致企业机密流向外部服务器。此后，许多大企业无条件禁止使用 AI，但这反而加剧了开发者在个人电脑或不可追踪路径上私自使用 AI 的“影子 AI（Shadow AI）”现象。最终，三星电子于 2026 年 6 月自主构建了价值 5,000 亿韩元的内部安全 AI 基础设施，通过提供掩码处理输入值的安全环境，将原本处于阴影下的 AI 使用引入了正轨。

初创公司与其一刀切地禁止，不如根据数据的性质建立差异化的控制标准，这更为现实。

数据分级分类及使用控制标准

数据等级	目标数据示例	公司 AI 工具传输规范	必需采取的措施
1 级 (绝密)	数据库 root 密码、PEM 私钥、未公开的核心业务算法	严禁传递给外部 AI 提示词及索引	本地防火墙拦截并在全局排除文件中注册相关文件夹
2 级 (秘密)	公司内部发布的 YAML 配置文件、内部测试 API 端点信息	仅限通过受认可的公司网关对脱敏处理后的代码片段进行限制性允许	使用结束后执行终端 shell 内存初始化命令
3 级 (一般)	简单排序算法、开源库封装工具类代码、UI 标记	可在已购买授权的企业工具内自由使用	保持编辑器内完全禁用遥测设置

如果尽管采取了预警措施，仍发现凭证或核心代码已泄露到外部，必须立即按照以下协议进行处理。

检测到泄露后立即执行的紧急协议

界定泄露范围（立即开始）
分析探测日志或防火墙拦截记录，准确查明哪些文件被发送。查询发送当时正在运行的 AI Agent 会话 ID，具体确认问题中包含的敏感数据范围。
终端网络隔离（5 分钟内）
启动预先编写的紧急切断开关脚本，切断开发机的所有外部连接，并立即终止正在运行的 AI 后台进程。
作废并更换已泄露的凭证（15 分钟内）
如果泄露的代码中包含 AWS 凭证或数据库密码，立即登录云管理控制台销毁该令牌。重新生成并发布随机的新令牌，防止对云环境的二次渗透。
要求 AI 平台方远程删除（24 小时内）
向已接收数据的外部 AI 企业服务安全窗口（如 security@ 地址等）发送传输日志及说明资料，并发送紧急公函，要求在发送的内容整合到 AI 模型学习数据集及厂商备份服务器之前，予以物理彻底销毁。

如何阻止本地终端的 AI 工具将源代码泄露到外部

1. 在操作系统层面限制 AI 进程的出站连接

在 macOS 上使用 LuLu 防火墙仅允许经过授权的代理

`bash

1. 首先默认封锁所有进程的新出站连接。

sudo lulu-cli add --key "" --path "" --action block --addr "" --port ""

2. 仅允许向经过公司安全审查并构建的专用代理服务器（例如：api.approved-ai-proxy.com）进行 443 端口通信。

sudo lulu-cli add --key "/usr/local/bin/ai-agent" --path /usr/local/bin/ai-agent --action allow --addr "api.approved-ai-proxy.com" --port 443

3. 重载 LuLu 系统引擎以应用设置的规则表。

sudo lulu-cli reload

一旦启用该规则，任何试图向未授权外部域名发送代码的行为都会立即被拦截。这样可以降低公司知识产权被非法泄露的风险。

在 Linux 上使用 iptables 基于账号的规则进行网络隔离

在 Linux 服务器或本地开发机上，可以利用 iptables 的 Owner 模块，将运行 AI 工具的账号本身隔离在网络之外。

`bash

1. 允许 AI 专用的本地回环（lo）及已建立的会话（ESTABLISHED），以确保构建工具正常运行。

sudo iptables -I OUTPUT 1 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -I OUTPUT 2 -o lo -j ACCEPT

2. 拒绝所有来自运行 AI 工具的专用系统账号（例如 UID 1002）发出的新出站请求。

sudo iptables -I OUTPUT 3 -m owner --uid-owner 1002 -m conntrack --ctstate NEW -j REJECT

完成此设置后，AI Agent 与本地数据库会话之间的内部通信（IPC）将正常运行，但直接向外部互联网发送数据包的路径会被完全封锁。

2. 建立与配置管理分离的全局 .aiignore 策略

应用针对工具的排除策略文件

`
**/.env
**/*.pem
**/config/credentials.json

`json
{
"permissions": {
"deny": [
"Read(./.env)",
"Read(./.env.)",
"Read(./**/.pem)",
"Read(./config/credentials.json)",
"Bash(cat .env)",
"Bash(grep -R *)"
]
}
}

使用全局环境变量作为双重防御盾

为了防御开发者忘记在个别项目文件夹中创建排除文件的情况，应在全局 shell 配置文件（~/.zshrc 或 ~/.bashrc）中添加全局排除环境变量。

`bash
export AIDER_IGNORE="/.env,/.env.,**/.pem,/secrets/*,/id_rsa"

强制将代码仅运行在容器化虚拟开发环境（Dev Containers）内部，而非本地主机驱动器上，也是一种非常确切的隔离方法。

3. 在本地 Hook 和 CI/CD 流水线中强制禁用 AI 遥测

校验 AI 安全规范的 Git pre-commit 脚本

将以下 Bash 脚本放置在项目的 .git/hooks/pre-commit 路径下。它会自动检查开发者的 VS Code 遥测传输设置是否已关闭，以及必需的 ignore 文件是否存在。

`bash
#!/usr/bin/env bash
set -euo pipefail

EXIT_CODE=0
PROJECT_ROOT="$(git rev-parse --show-toplevel 2>/dev/null || pwd)"

echo "=== [STAGE 1] 验证 AI 工具遥测是否已禁用 ==="

echo "=== [STAGE 2] 验证必需的 AI 排除文件是否存在 ==="

if [ ${EXIT_CODE} -eq 0 ]; then
echo "[SUCCESS] 已满足所有本地 AI 安全配置要求。"
else
echo "[FAIL] 发现不符合公司开发安全准则的设置。"
fi

exit ${EXIT_CODE}

检测到流量泄露时启动的紧急网络切断开关

这是假设开发机检测到异常大流量出站时的紧急切断开关脚本。它会立即切断本地连接，并使用信号 9 终止驻留中的 AI Agent 守护进程。

`bash
#!/usr/bin/env bash
set -euo pipefail

echo "[CRITICAL ALERT] 本地开发节点发生异常流量。正在隔离网络。"

pkill -9 -f "cursor" || true
pkill -9 -f "aider" || true
pkill -9 -f "claude" || true

echo "[COMPLETE] 本地主机的威胁因素已被隔离。"

在全公司开发基础设施中落实此级别的校验环境，可以将以往浪费在人工监管和控制开发者方面的管理资源减少 80% 以上。

4. 建立符合数据分级标准的内部准则

初创公司与其一刀切地禁止，不如根据数据的性质建立差异化的控制标准，这更为现实。

数据分级分类及使用控制标准

数据等级	目标数据示例	公司 AI 工具传输规范	必需采取的措施
1 级 (绝密)	数据库 root 密码、PEM 私钥、未公开的核心业务算法	严禁传递给外部 AI 提示词及索引	本地防火墙拦截并在全局排除文件中注册相关文件夹
2 级 (秘密)	公司内部发布的 YAML 配置文件、内部测试 API 端点信息	仅限通过受认可的公司网关对脱敏处理后的代码片段进行限制性允许	使用结束后执行终端 shell 内存初始化命令
3 级 (一般)	简单排序算法、开源库封装工具类代码、UI 标记	可在已购买授权的企业工具内自由使用	保持编辑器内完全禁用遥测设置

如果尽管采取了预警措施，仍发现凭证或核心代码已泄露到外部，必须立即按照以下协议进行处理。

检测到泄露后立即执行的紧急协议

界定泄露范围（立即开始）
分析探测日志或防火墙拦截记录，准确查明哪些文件被发送。查询发送当时正在运行的 AI Agent 会话 ID，具体确认问题中包含的敏感数据范围。
终端网络隔离（5 分钟内）
启动预先编写的紧急切断开关脚本，切断开发机的所有外部连接，并立即终止正在运行的 AI 后台进程。
作废并更换已泄露的凭证（15 分钟内）
如果泄露的代码中包含 AWS 凭证或数据库密码，立即登录云管理控制台销毁该令牌。重新生成并发布随机的新令牌，防止对云环境的二次渗透。
要求 AI 平台方远程删除（24 小时内）
向已接收数据的外部 AI 企业服务安全窗口（如 security@ 地址等）发送传输日志及说明资料，并发送紧急公函，要求在发送的内容整合到 AI 模型学习数据集及厂商备份服务器之前，予以物理彻底销毁。

如何阻止本地终端的 AI 工具将源代码泄露到外部

1. 在操作系统层面限制 AI 进程的出站连接

在 macOS 上使用 LuLu 防火墙仅允许经过授权的代理

1. 首先默认封锁所有进程的新出站连接。

2. 仅允许向经过公司安全审查并构建的专用代理服务器（例如：api.approved-ai-proxy.com）进行 443 端口通信。

3. 重载 LuLu 系统引擎以应用设置的规则表。

在 Linux 上使用 iptables 基于账号的规则进行网络隔离

1. 允许 AI 专用的本地回环（lo）及已建立的会话（ESTABLISHED），以确保构建工具正常运行。

2. 拒绝所有来自运行 AI 工具的专用系统账号（例如 UID 1002）发出的新出站请求。

2. 建立与配置管理分离的全局 .aiignore 策略

应用针对工具的排除策略文件

使用全局环境变量作为双重防御盾

3. 在本地 Hook 和 CI/CD 流水线中强制禁用 AI 遥测

校验 AI 安全规范的 Git pre-commit 脚本

检测到流量泄露时启动的紧急网络切断开关

4. 建立符合数据分级标准的内部准则

数据分级分类及使用控制标准

检测到泄露后立即执行的紧急协议

More from the community

사내 시스템에 llm api 붙일 때 마주하는 현실적인 한계와 대응법

레거시 백엔드에 GPT-6 Astra 붙일 때 예산 승인과 보안 통과를 먼저 끝내는 법이 있습니다

에이전트끼리 대화하다 6천만 원 청구서가 나오는 이유

사내 RAG 벡터 검색에 Okta 권한 필터를 직접 거는 방법

브라우저 에이전트에게 내 구글 계정을 통째로 넘기면 안 되는 이유

Apple Won the AI Race

Comments (0)

如何阻止本地终端的 AI 工具将源代码泄露到外部

1. 在操作系统层面限制 AI 进程的出站连接

在 macOS 上使用 LuLu 防火墙仅允许经过授权的代理

1. 首先默认封锁所有进程的新出站连接。

2. 仅允许向经过公司安全审查并构建的专用代理服务器（例如：api.approved-ai-proxy.com）进行 443 端口通信。

3. 重载 LuLu 系统引擎以应用设置的规则表。

在 Linux 上使用 iptables 基于账号的规则进行网络隔离

1. 允许 AI 专用的本地回环（lo）及已建立的会话（ESTABLISHED），以确保构建工具正常运行。

2. 拒绝所有来自运行 AI 工具的专用系统账号（例如 UID 1002）发出的新出站请求。

2. 建立与配置管理分离的全局 .aiignore 策略

应用针对工具的排除策略文件

使用全局环境变量作为双重防御盾

3. 在本地 Hook 和 CI/CD 流水线中强制禁用 AI 遥测

校验 AI 安全规范的 Git pre-commit 脚本

检测到流量泄露时启动的紧急网络切断开关

4. 建立符合数据分级标准的内部准则

数据分级分类及使用控制标准

检测到泄露后立即执行的紧急协议