企业官网建设流程全解析

1. 本地裸跑 AI Agent 到底在赌什么

AI Agent 和普通聊天机器人的区别在于：它真的会动手。读写文件、执行 shell、装第三方 Skill、调外部 API，这些能力叠在一起，等于把一个有手有脚还有你钥匙的陌生人请进了系统。你让它整理桌面，它可能顺手把~/.ssh也读了一遍；你装了个来路不明的 Skill，它可能在后台把环境变量里的 Key 打包发走。

我见过太多人的开发机是这样的：全局~/.zshrc里躺着 OpenAI、Anthropic、云厂商、数据库的 Key，Agent 用当前用户身份跑，工作目录直接是~/。这套配置在"能跑通"这件事上没问题，但在"出事"这件事上等于裸奔。第三方 Skill 的审计覆盖率远没有你想的高，思科那份报告里 26% 这个数字不是吓唬人的——它意味着你随手装的四个插件里可能就有一个带着不该有的东西。

问题的根子不在 Agent 本身，而在权限边界和凭据暴露面。裸跑意味着 Agent 继承了你当前用户的一切：能读的文件、能连的网络、能拿到的环境变量。一旦某个环节被污染，损失是整机级别的。

所以这篇要解决的不是"怎么让 Agent 跑起来"，而是"怎么让它跑起来的同时，最坏情况下也伤不到主机"。思路两条：用 Docker 把运行环境关进沙盒，用 TaoToken 统一 Key 把凭据从本地环境里挪出去。下面直接给可复制的配置。

2. 用 TaoToken 统一 Key 收口凭据

先说清楚 TaoToken 在这里扮演什么角色。它是一个统一的模型接入层，你只需要在它这边维护一份 Key，各个 AI 工具（Agent、编辑器插件、CLI）都通过它来调模型。官网在 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，API 入口是 https://taotoken.net/api 。

为什么这对安全加固重要？因为裸跑场景下，每个工具都要你填一份原始厂商 Key，这些 Key 散落在.env、settings.json、shell 配置里，暴露面成倍放大。收口到 TaoToken 之后，本地只留一个 Key，而且这个 Key 可以随时在控制台吊销重发，不用去每个厂商后台挨个换。

操作路径很直接：进控制台 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite 创建 API Key，然后在 API Keys 页面 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 管理这些 Key 的生命周期。文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，接入细节都在里面。

关键原则：这个 Key 不进全局 shell 配置，只通过 Docker 的环境变量注入，且不写进镜像。下面第三节的 compose 骨架就是按这个原则搭的。

3. 可复制的 Docker 沙盒配置

3.1 Dockerfile 骨架

基础镜像选一个精简的，别用带一堆预装工具的臃肿镜像，攻击面越小越好。下面这份可以直接改：

FROM python:3.11-slim # 建一个非 root 用户，Agent 全程用它跑 RUN useradd -m -u 1000 agentuser WORKDIR /app # 只装运行必需的依赖，别把整个工具链搬进来 COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt # 代码以 agentuser 身份持有 COPY --chown=agentuser:agentuser . . USER agentuser # 默认不暴露 shell，按需覆盖 CMD ["python", "-m", "your_agent_entry"]

这里有两个点值得强调。一是USER agentuser，容器内进程不是 root，就算 Agent 被诱导执行了提权命令，能碰的东西也有限。二是--no-cache-dir，减少镜像层里残留的构建缓存，降低信息泄露面。

3.2 docker-compose 骨架

compose 负责把沙盒的边界画清楚：挂载哪些目录、给什么权限、注入哪些环境变量。

services: agent-sandbox: build: . container_name: agent-sandbox env_file: - .env volumes: # 只挂载专用工作区，绝不挂载 ~ 或 /Users - ./ai_workspace:/app/workspace working_dir: /app/workspace # 只读根文件系统，需要写的目录单独挂 read_only: true tmpfs: - /tmp # 去掉所有多余能力 cap_drop: - ALL security_opt: - no-new-privileges:true # 限制资源，防止被当矿机 mem_limit: 2g cpus: 1.5 network_mode: bridge

read_only: true配合tmpfs是个好组合：容器根文件系统不可写，Agent 想改系统文件改不动，临时文件走内存盘，重启即清。cap_drop: ALL把 Linux capabilities 全砍掉，no-new-privileges防止进程通过 setuid 提权。这几条加起来，容器逃逸的难度会高一个量级。

3.3 .env 环境变量清单

.env只放运行必需的变量，且这个文件要进.gitignore：

# TaoToken 统一 Key，唯一凭据 TAOTOKEN_API_KEY=sk-你的key TAOTOKEN_BASE_URL=https://taotoken.net/api # Agent 运行参数 AGENT_WORKSPACE=/app/workspace AGENT_LOG_LEVEL=info # 明确不注入任何原始厂商 Key # 不要在这里写 OPENAI_API_KEY / AWS_SECRET_ACCESS_KEY 等

注意最后那行注释不是摆设。很多人图省事把原始 Key 也塞进来，那统一 Key 的意义就没了。.env里只留 TaoToken 这一个凭据，其他一律不出现。

3.4 settings.json 接入片段

如果你的 AI 工具（比如某些编辑器插件或 CLI）走settings.json配置，接入 TaoToken 的片段长这样：

{ "model_provider": { "base_url": "https://taotoken.net/api", "api_key_env": "TAOTOKEN_API_KEY", "models": { "default": "claude-sonnet-4-5", "fast": "claude-haiku-4-5" } } }

关键在api_key_env：它读的是环境变量名，不是把 Key 明文写进配置文件。这样配置文件可以进版本库，Key 留在.env里，两边分离。如果你用的是 Claude Code 这类工具，接入方式在 https://taotoken.net/ClaudeCodeAnthropic?utm_source=taotoken_aicg_blog_end&utm_content=ClaudeCodeAnthropic&utm_campaign=rewrite 有对应说明。

4. 验证请求与密钥不落盘

配置写完不算完，得验证两件事：Agent 能正常调模型，以及 Key 确实没落到不该落的地方。

4.1 验证模型调用

先起容器：

docker compose up -d docker compose exec agent-sandbox bash

在容器里发一个最小请求，确认 TaoToken 通路正常：

curl -s https://taotoken.net/api/v1/messages \ -H "x-api-key: $TAOTOKEN_API_KEY" \ -H "anthropic-version: 2023-06-01" \ -H "content-type: application/json" \ -d '{ "model": "claude-haiku-4-5", "max_tokens": 64, "messages": [{"role": "user", "content": "ping"}] }'

返回里有正常的content字段就说明通了。如果报 401，先查.env里的 Key 有没有被 compose 正确加载；报 404 多半是 base_url 拼错。想快速验证模型可用性，也可以直接在模型对话页 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_content=model-chat&utm_campaign=rewrite 发一条消息对照。

4.2 密钥不落盘自检

这一步是重点。在容器里执行：

# 确认环境变量存在但不该出现在文件里 env | grep TAOTOKEN # 扫描工作区和常见配置路径，确认没有明文 Key grep -r "sk-" /app/workspace 2>/dev/null grep -r "TAOTOKEN_API_KEY" /app --include="*.json" 2>/dev/null

第一条应该只输出环境变量本身，第二条和第三条应该没有任何输出。如果 grep 到了东西，说明 Key 被写进了某个文件，得回去查是哪个环节漏了。

再确认容器内进程身份：

whoami # 应该是 agentuser，不是 root id # uid=1000，没有 sudo 组

4.3 容器逃逸自检

做几个基础探测，确认沙盒边界生效：

# 尝试写根文件系统，应该失败 touch /test_write && echo "警告：根文件系统可写" || echo "OK：根文件系统只读" # 尝试挂载，应该失败 mount -t tmpfs none /mnt 2>&1 | head -1 # 查看 capabilities，应该为空 capsh --print 2>/dev/null | grep "Current:" || cat /proc/self/status | grep Cap

read_only和cap_drop配对了的话，前两条都会失败，第三条显示 capabilities 被清空。这些不是万能的逃逸检测，但能挡住绝大多数低级越权尝试。

5. 本篇常见错排查

容器起不来，报 permission denied：多半是read_only: true之后某个目录需要写权限。检查你的 Agent 是不是要写日志或缓存，把这些路径单独挂tmpfs或可写卷，别直接关掉read_only。

环境变量在容器里读不到：compose 的env_file路径是相对 compose 文件所在目录的。确认.env和docker-compose.yml同级，且.env里没有多余空格或引号。

TaoToken 返回 401：Key 可能被吊销或复制时带了空格。去 API Keys 页面 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 重新生成一个，注意复制完整。

Agent 说找不到工作目录：working_dir和volumes的挂载点要对齐。上面配置里挂到/app/workspace，working_dir也是它，两边不一致就会出问题。

grep 扫到了 Key：最常见的原因是 Agent 把环境变量写进了自己的日志或状态文件。检查 Agent 的日志配置，把敏感字段做脱敏，或者把日志目录也设成tmpfs。

想跑长期编码任务但容器资源不够：mem_limit和cpus按需调，但别直接去掉限制。如果任务确实重，考虑用 Coding Plan https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 这类面向持续编码场景的方案，配合沙盒跑更稳。

6. 把不可控关进可控的边界

回到最开始的问题：为什么我不建议直接在电脑上跑 AI Agent？因为裸跑等于把权限边界交给了一个你没法完全审计的程序。Docker 沙盒解决的是"它能碰什么"，TaoToken 统一 Key 解决的是"它能拿到什么凭据"，两件事叠起来，最坏情况下的爆炸半径才可控。

这套配置不是让你从此高枕无忧，而是让你在装下一个第三方 Skill 的时候，心里有底：就算它有问题，也翻不出这个笼子。凭据收口到一个可吊销的 Key，环境隔离到一个只读的容器，剩下的就是正常用。

如果你还没建 Key，从控制台 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite 开始；接入细节卡住了就翻文档 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。先把沙盒跑通，再往里放 Agent，顺序别反。