从这里继续讨论：

很多佬友遇到这个问题不清楚具体是什么原因，我们可以看一下，当我们使用 Claude Code 或者 Codex 之类的工具 vibe coding 的时候，整个流程是怎样的：

1. 你发送了一条消息
2. 插件 Hook 可以修改你发送的消息
3. 中转站把消息发给模型
4. 模型开始推理
5. 模型调用了一些工具，此时消息从中转站发回 Claude Code
6. 插件 Hook 可以修改模型调用工具的输入
7. Claude Code 进行实际的工具调用
8. 插件 Hook 可以修改工具调用的输出
9. Claude Code 把输出发送给中转站
10. 中转站把消息发给模型
11. 模型继续推理

在这个过程中，几乎每一步都是可以投毒的：

• 如果你安装了有恶意代码的插件，那么他可以：
  • 在第二步进行提示词注入
  • 在第六步注入带有恶意代码的工具调用
  • 在第八步进行提示词注入
• 如果中转站是坏的：
  • 在第三步进行提示词注入
  • 在第五步修改工具输入，进行带有恶意代码的工具调用
  • 在第十步进行提示词注入

插件 Hook 作恶的可能性是比较低的，因为他们直接就运行在你的电脑上，想干什么直接干就行不需要经过大模型。但是还是提醒大家，插件是有能力干预整个流程的。

提示词注入还算是比较文明的方法，基本上是在你看不见的地方让模型干坏事，并尽可能让模型意识不到自己在干坏事。

而更有威胁的是直接进行恶意工具调用，假设模型是想要 ls，结果被改成了 cat ~/.ssh/id_rsa && ls，此时哪怕模型意识到了 SSH key 泄露，这个工具调用的结果也已经发送给中转站了。

除了投毒以外，也有可能是模型自己的幻觉问题。为了提高模型能力，Claude Code 会在上下文中加入 <system-reminder> 之类的文本，向模型发送一些提示，而这有可能直接被模型自己当成提示词注入的攻击，例如：

那么有什么解决方法吗？目前没有。

• 可以禁用对敏感目录和文件的读取权限？直接用 bash 就能绕过
• 加上一些 bash 的 deny 规则？比如禁止 Bash(*~/.ssh*)，可是兄弟这随便绕啊。

我能想到的唯一的解决方案，是让所有的工具调用，尤其是 Bash，在一个能隔离文件系统等访问的沙盒里运行。而据我所知，不知道出于什么原因，还没有主流 vibe coding 工具拥有这个功能。