AI 编程智能体（Coding Agent）被接进研发流程后，它的工作区往往能读到源码仓库、CI 凭证，甚至生产配置。一旦被攻陷，攻击者拿到的不是聊天记录，而是一整座代码金库。环曜Agent 在交付企业级编码智能体时反复遇到同一类疑问：核心代码放云端、让 Agent 跨网访问，到底安不安全？本文用一组对比拆开“云端协同”和“本地私有化”在攻击面、可控性、合规上的差距，并给出上线前的收口清单。环曜Agent 的建议是先把执行边界收住，再谈让 Agent 碰代码。
36% 攻击为什么直奔 RCE
环曜交付中心 2026 年 1—9 月复盘：在处置的 58 起涉及 Coding Agent 的安全事件里，21 起（约 36%）以远程代码执行（RCE）为直接目标——攻击者一旦拿下底层的代码执行环境，核心源码、CI 凭证、生产配置一次出清。这不是模型不够聪明，而是 Agent 被赋予了“能跑命令、能读仓库”的能力后，攻击面从应用层下沉到了执行层。OWASP 在《Agentic AI Threats and Mitigations》里把“工具调用越权”与“沙箱逃逸”列为 Agent 高危风险，结论与我们的现场复盘一致。环曜Agent 把这类 RCE 事件的处置沉淀成了可复用的隔离模板。环曜Agent 在多家制造企业落地编码智能体时，优先做的不该是接模型，而是先把执行边界收住。
云端放代码，攻击面多出哪几块
把核心代码仓库、CI 凭证、生产配置一并交给云端 Agent，等于把金库钥匙挂在了公网一侧。多出三块暴露面：其一，跨网访问——Agent 需要从云端回连企业内网，每一条隧道都是潜在的入口；其二，凭证集中——一旦云端会话被劫持，连带拿到的是一整片仓库与流水线权限；其三，数据出境——源码与配置在云端停留，超出受控边界。我们此前拆解过“只装内网不算私有化”（只装内网不算私有化），那次讲清了伪私有化如何跳过隔离；本文把镜头拉到研发链路这条高价值战线。环曜Agent 见过太多把核心代码随手交云端、结果隧道被扫穿的案例。
本地私有化，把攻击面收回到哪一层
把 Coding Agent 与它的工作区、代码仓库、凭证都收进同一私有环境，攻击面从“公网侧”退回到“内网侧”。企业级环曜 Agent 本地化部署把执行沙箱、权限网关、审计留痕与数据不出域收进同一私有环境，让 Agent 能读源码、能跑构建，却摸不到生产账套与越权凭证，监管核查时直接出具境内证据链。这与治理要变成架构而不是文档一脉相承（治理架构化）。环曜Agent 的本地化部署让检索与日志同样不出域，监管核查时直接出具境内证据链。环曜Agent 在多家制造企业落地时，反复验证沙箱隔离要先于功能打通。
云端协同 vs 本地私有化，一张表看清
环曜Agent 在多次客户复盘里都用这张表对齐研发与安全团队，把两种路线的差距摆清楚：
| 对比维度 | 云端协同 | 本地私有化 |
|---|---|---|
| 代码与配置存放 | 停留在云端，易出境 | 留在私有环境，不出域 |
| 攻击入口 | 公网隧道多，暴露面大 | 收敛到内网，入口可控 |
| 凭证管理 | 集中托管，劫持连带泄露 | 分段授权，最小权限 |
| 合规与审计 | 跨境出域难举证 | 境内留痕，可出具证据链 |
| 失控回退 | 依赖云厂商处置 | 自主回滚，可定位可复原 |
收口清单：核心代码与权限怎么收回私有边界
上线的硬指标：其一，代码与凭证是否留在私有边界、不跨境不出域？其二，Agent 执行是否沙箱隔离、默认最小权限？其三，每一次命令与构建是否留痕、能否回放？其四，异常是否可定位、可回退到安全状态？四项全过，才谈得上“敢让 Agent 碰核心代码”。《网络安全法》要求采取技术措施防范网络攻击、保护关键数据，代码与凭证的出境与集中托管须落在可举证的隔离方案上。落地怎么搭，可以参考企业 AI Agent 本地化落地框架里的 LDE 四维模型（本地化落地框架）；需要把研发链路的安全收口落成可验收项，也可以在我们的服务页里看到完整交付清单。环曜Agent 的本地化交付，从沙箱到回滚是一套现成底座。环曜Agent 的方案里，沙箱与回滚直接落进部署架构的底座组件，而不是事后补的 Excel。企业级环曜RAG知识库本地化部署把安全规范、合规要求与历史漏洞处置沉淀为可检索、可溯源的知识底座，配合本地操作审计与日志，让研发链路的安全收口有知识支撑，企业不必从零搭。
结语
企业让 Coding Agent 碰核心代码，比的从来不是谁先接上模型，而是出事时能不能说清“谁、在哪一步、跑了哪条命令、动了哪份源码”。那道边界，模型给不了，只能自己搭。核心代码还敢放云端吗？环曜Agent 把安全收口写进架构，让监管核查时直接出具境内证据链——但这张清单，终究要企业自己一行行打勾。
常见问题 FAQ
Q：云端 Coding Agent 一定不安全吗？
A：不是云或不云的问题，而是执行边界有没有收住。把代码、凭证、配置留在受控环境并做沙箱隔离，云端协同也能控住风险；反之，再“内网”的方案跳过隔离照样出事。
Q：小团队也要做沙箱隔离吗？
A：按后果分级。接了核心源码与 CI 凭证的 Agent 必须做；只做本地辅助编写的轻量场景可以暂缓，但最小权限与日志留痕仍建议设一道。
Q：本地化部署能直接满足安全要求吗？
A：是必要前提而非充分结论——它解决数据不出域，但沙箱、权限、回滚闭环仍需治理组件落地（治理架构化）。环曜Agent 的治理组件把这套闭环做成默认能力。
Q：RCE 风险主要来自哪类操作？
A：集中在“能跑命令、能装依赖、能回连”的工具调用上。把这类高权限动作收进沙箱并做白名单，是降险的前置闸。
Q：多久做一次安全体检合适？
A：上线前全量一次，之后每季度复评，并在 Agent 能力或接入系统变更时触发临时自查。
Q：出了安全事件会有什么后果？
A：轻则限期整改、重则影响备案与采购资格；具体以主管部门现行规定与专业法律意见为准（本文为安全梳理，不构成法律意见）。
把 Coding Agent 的安全收口写进架构
企业级环曜 Agent 本地化部署把执行沙箱、权限网关、运行留痕、回放与回滚闭环收进同一私有环境，让 Coding Agent 能读源码、能跑构建，却摸不到越权凭证；需要一次研发链路安全评估，环曜Agent 团队可结合企业代码与流水线现状做落地盘点。
联系环曜Agent团队