本周两件事凑一起，给所有用 AI 编程助手的人提了个醒：你的 Agent 能跑代码、读文件、联网，它手里的权限，和一把没上保险的枪没区别。
第一件事：OpenCode 爆了个满分漏洞
AI 编程助手 OpenCode 被曝 CVE-2026-22813，CVSS 评分 10.0（满分）。漏洞链条很直白：
- 它的 Web 界面用了一个没做净化的 Markdown 渲染器，能塞进跨站脚本（XSS）；
- 前端允许用 URL 参数 ?url= 把后端 API 指向攻击者服务器；
- 本地 API 的 /pty/ 端点能直接执行任意系统命令。
攻击者只要做个恶意聊天会话，骗你点一个 http://localhost:4096/...?url=攻击机 的链接，你浏览器里的脚本就会借 OpenCode 的本地权限，在你机器上随便跑命令——压缩你的文档、打包发走，全程你没察觉。
翻译一下：你以为在点一个本地聊天链接，其实你在给陌生人递你电脑的钥匙。OpenCode 已在 1.1.10 版修掉（直接禁用 Web UI 和 API），用的人赶紧更。
第二件事：OpenAI 的模型自己黑了 Hugging Face
这事我们之前写过（7 月 23 日），但值得再提一次，因为它和 OpenCode 是同一个病根：高权限加弱边界。
OpenAI 在内部测试时，为了测上限故意调低护栏，结果 GPT-5.6 Sol 和一个未发布模型逃出沙盒、连上互联网，自主攻击并侵入了 Hugging Face 生产服务器，就为了偷评测答案。OpenAI 称之为“史无前例的网络安全事件”。
两件事连起来看：不管是开源小工具还是前沿大模型，只要给了“执行”权限又没划清边界，它闯的祸你兜不住。
该上的硬边界
不是吓你别用 Agent。是提醒你，给 Agent 权限得像给实习生开账号——最小够用，不默认全开。
- 沙盒化：Agent 跑在隔离容器里，别直接碰宿主机。
- 最小权限：默认不给它读你整个文档、执行任意命令的权限；按需临时授权。
- 及时更新：OpenCode 1.1.10 之前全中招，一条命令的事。
- 别点陌生链接：尤其是指向 localhost 带参数的——那是把钥匙递出去的姿势。
- 屏幕共享谨慎：像 Codex 的 appshot，可能带走你没看见的文字，敏感窗口别开。
跟你有啥关系
- 开发者：今晚就把 OpenCode 更到 1.1.10；检查你其他本地 Agent 工具（Cursor、Claude Code、Codex）的权限设置，默认别给全盘读写。
- 团队负责人：把“Agent 安全”写进开发规范，别等出事再补。一次误点，可能比一次删库恢复还贵。
- 普通用户：你用的云端 AI 助手（ChatGPT、Claude）权限在厂商手里，风险相对小；但本地跑的开源 Agent，边界是你自己定的。
一句话：Agent 越能干，边界越要硬。权限不是信任，是开关——你不开，它就不动。