扫描 34,266 个仓库：四分之一团队 AI Agent 配置文件存隐患

随着 Claude Code、Cursor、GitHub Copilot 等 AI 编码助手的普及，仓库级别的指令文件（如 CLAUDE.md、.cursorrules、copilot-instructions.md、AGENTS.md）正成为影响 Agent 行为的核心配置。然而，多数团队对这些文件的审查严格度远不及普通代码。一项基于 34,266 个仓库的大规模扫描揭示了这一领域的真实状况。

研究背景与方法

研究团队开发了开源静态分析工具 AgentLinter，专门用于扫描 AI Agent 配置文件。本次扫描覆盖 34,266 个启用了相关特性的仓库，涵盖 1,353 个组织。扫描结果呈现出明确的两极分化：约 1,604 个仓库的 Agent 配置文件存在问题，涉及 354 个组织——即大约每四个组织中就有一个存在配置隐患。

调查同时引用了麦肯锡的数据：仅约 30% 的组织在 AI 治理成熟度上达到 3 级或以上，说明大多数团队尚未将 Agent 配置纳入正式的工程治理流程。

三大核心问题

指令模糊最为普遍

扫描共发现超过 13,000 条与可读性和清晰度相关的问题，其中 7,700 多处出现未定义术语。常见反例包括「写好代码」「遵循最佳实践」等模糊指令——不同 Agent 甚至同一 Agent 的不同运行都可能给出截然不同的解读。

研究给出了弱指令与具体指令的对比示例：

• 弱：「保持有帮助」 → 具体：「当用户请求代码修改时，执行变更并说明修改内容」
• 弱：「格式化代码」 → 具体：「TypeScript 文件使用 2 空格缩进」
• 弱：「遵循我们的风格」 → 具体：「遵循 .eslintrc.js 中的 ESLint 配置」

指令越模糊，Agent 产生幻觉行为、跨仓库产出不一致代码的概率就越高，审查者也需要投入更多精力修正本可避免的错误。

缺少失败兜底导致失控循环

扫描发现近 5,000 处缺失「逃生通道」（escape hatch），另有 2,000 多条重复或自相矛盾的指令。逃生通道指明确告诉 Agent 在出错时如何处理的指令——类似于传统软件中的异常处理、重试、超时和降级机制。

缺少这类指令时，Agent 可能反复重试同一条失败命令、持续编辑无关文件、凭空捏造缺失上下文，或在工具调用失败后继续执行。

安全风险数量少但严重程度高

约 1,150 条问题与安全风险相关，包括硬编码密钥、过度宽松的访问控制等。数量虽不及前两类，但单条问题可能直接导致凭据泄露。

工程启示

配置文件之所以风险突出，在于其消费方式的根本差异：传统文档由人类阅读，读者可以推断意图、忽略无关细节；而 Agent 配置文件由 LLM 直接执行，文本中的每一句话都可能成为 Agent 的实际行为依据。

研究指出，定义规则并不等于强制执行规则。要让 Agent 配置达到生产级可靠性，团队需要将其纳入与代码同等的审查流程：对模糊指令进行澄清、为所有关键操作定义失败行为、对外置密钥和权限边界进行持续扫描。对于希望在短期内降低风险的团队而言，至少应优先完成这三项排查。