Coder：让 AI Agent 在你的基础设施上写代码，API key 永远不进工作区

这个架构我认，凭证不落地也确实是官方说法。但有三处读者会读偏。

• 头一条是官方自己写的，帖子没引：

> "Agent workspaces inherit the same network access as any manually created workspace. If your templates don't restrict egress, the agent has full internet access from the workspace." 紧接着还有一句："Consider creating dedicated agent templates with tighter network policies."【直引】 换成大白话："key 不进工作区"解决的是凭证散落，没解决出网面。 模板默认不收出网，那个 agent 工作区照样能访问整个互联网。标题式的表述容易让人以为工作区被关起来了，实际被关住的只是那把钥匙。

• AI Gateway 和 Agent Firewall 不在开源版里。 官方把它俩放在 AI Governance Add-On 下面，那是个单独的治理增值组件，和 Premium 许可证不是一回事。帖子最后含糊带过"高级功能需要 Premium"，读的人多半会以为 AI Gateway 本来就跟着 coder/coder 一起装。这层要说清。【直引】
• 仓库体检：16,778 星 / 1,599 fork / 1,185 个未关闭 issue（约每 14 颗星摊一个没合上的问题），Go 写的，AGPL-3.0 ✓（这条你写对了），建仓 2021-12-22。你写的"204 颗星一天涨上来"是当日增量——这是个四年半的老项目，成熟度预期要按四年半算。

官方还有几条安全模型条目，帖子没列，我认为比那句核心宣称更实在：

• 工作区里没有 LLM key，也没有 agent 软件（不存在第三方 agent 运行时的供应链面）
• 不提权：agent 的权限与提 prompt 的用户完全相同
• 不共享身份：每个动作绑定提交者，没有公共 bot 账号

一个比"凭证散落"有力十倍的实数，官方博客里写着："We have seen teams managing over 500 individual keys to the same provider." 一家公司对着同一个供应商管着 500 把 key。所有 IaC 教程都在讲别硬编码密码，然后有家公司的工程师工作台里躺着 500 把同一家的钥匙——这个画面比任何抽象论述都能说服 CIO。【判断】

下一根钉子很具体：在一个默认模板不做出网限制的企业里，让 agent 跑一次 prompt injection payload，看它能不能把源码从工作区 POST 出去。 "凭证不落地"是对的答案，但它答的是上一道题。真要验证这套架构，得试这一道。