**切勿将.env 文件交给 AI 代理：通过代理注入避免凭证泄露**

_Don't give Claude Code your .env_

> 文章指出，将包含敏感凭证的.env 文件直接提供给 AI 编程代理存在严重安全风险。AI 代理可能通过恶意 npm 包、提示注入或配置文件诱导泄露密钥。推荐采用“代理模式”，即让代理通过安全代理访问凭证，而非直接持有密钥，从而在保障功能的同时杜绝泄露风险。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：ai-products
- **发布时间**：2026-11-11 21:39（北京时间）
- **原文**：[打开原文](https://infisical.com/blog/dont-give-ai-agents-your-env)