引子:AC2 协议需要回到通用协议层思路复盘 选题描述里所提到的「AC2 协议」这一具体协议名称,在本任务可触达的一手信源中尚未找到来自官方标准组织或权威厂商的正式 RFC / 草案或白皮书披露。本文文围绕「Agent 与人类共享临时文件」这一类工程场景,结合 Anthropic 在 2024-11 开源的 Model Context Protocol 里关于 Resources 原语的工程定义,
引子:AC2 协议需要回到通用协议层思路复盘
选题描述里所提到的「AC2 协议」这一具体协议名称,在本任务可触达的一手信源中尚未找到来自官方标准组织或权威厂商的正式 RFC / 草案或白皮书披露。本文文围绕「Agent 与人类共享临时文件」这一类工程场景,结合 Anthropic 在 2024-11 开源的 Model Context Protocol 里关于 Resources 原语的工程定义,与 Anthropic 在 2026-07-30 containment 事件报告里强调的 containment 五道防线,做一次通用协议层设计思路的复盘;若读者希望了解 AC2 协议的具体规范,请回到协议发布方的官方页面核实后再做判断。
一、Agent 与人类共享临时文件的真实场景
「Agent 与人类共享临时文件」是任何 Coding Agent 在本地开发机上跑起来时必然会遇到的工程场景。Claude Code 在响应一次「读这个 log,告诉我为什么 build 失败」时,需要把目标日志读取到自己的上下文里;Cursor 在执行一次「重写这个函数」时,需要把目标源文件读到自己的提示词里;Continue 在完成一次「生成单元测试」时,需要把目标测试文件写入本地;Codex 在执行一次「修复这个 PR 的 CI 失败」时,需要把 CI 失败日志写入本地临时文件。这些操作的共同点是:Agent 与人类在同一个文件系统上工作,Agent 需要读取人类写下的代码、写入人类会再次打开的文件。任何「Agent 越权访问」、「Agent 写入路径错误」、「Agent 被 prompt injection 引向危险文件」三类风险,都在这一场景下被同时放大。
二、MCP 协议 Resources 原语与文件访问治理
Anthropic 在 2024-11-25 发布的《Introducing the Model Context Protocol》里给出了 MCP 的协议层定义:MCP addresses this challenge. It provides a universal, open standard for connecting AI systems with data sources, replacing fragmented integrations with a single protocol. The result is a simpler, more reliable way to give AI systems access to the data they need. 把这条原则映射到文件访问场景,意味着任何「Agent 读 / 写文件」的操作,都应当走 MCP 协议定义的 Resources 原语,而不是让 Agent 直接调用 read() / write() 系统调用。Resources 原语允许 MCP 客户端(Claude Desktop / Cursor / Cline 等)从 MCP 服务器以结构化方式读取数据,MCP 服务器负责执行实际的权限校验、路径白名单、沙箱隔离。这与 Anthropic containment 报告里强调的「Agent 不应绕过沙箱直接访问文件系统」高度一致。
三、四条独立安全约束
把视线从 MCP 协议层拉到「临时文件」这一具体子场景,可以提炼出四条独立安全约束。第一条是「路径白名单」:Agent 能读写的路径必须显式枚举到一份白名单里,任何不在白名单上的路径请求一律拒绝;白名单可以是「当前项目的 src/、tests/、docs/、tmp/」,也可以是「开发者明确授权的若干目录」。第二条是「时间窗口」:Agent 创建的任何临时文件必须有显式的 TTL(Time To Live),过期后由 MCP 服务器自动清理;这一条与「Agent 不应在文件系统上留下不可清理的副作用」直接对应。第三条是「所有权隔离」:Agent 创建的临时文件应当归属到 Agent 自身的用户 / 进程 ID,而非与人类用户共享 UID,这等于在文件系统层面就把 Agent 与人类的临时文件从所有权上隔离开。第四条是「可审计」:Agent 对每一份临时文件的创建、读取、写入、删除都必须写入审计日志,审计日志必须包含路径、大小、时间、Agent 客户端 ID 与任务 ID,以便事后回溯。
- 路径白名单:Agent 能读写的路径必须显式枚举到白名单,不在白名单上的路径请求一律拒绝。
- 时间窗口:Agent 创建的任何临时文件必须有显式的 TTL,过期后由 MCP 服务器自动清理。
- 所有权隔离:Agent 创建的临时文件应当归属到 Agent 自身的 UID,而非与人类用户共享 UID。
- 可审计:Agent 对每一份临时文件的创建、读取、写入、删除都必须写入审计日志,包含路径、大小、时间、Agent 客户端 ID 与任务 ID。
四、与 Anthropic containment 五道防线的对位
把上述四条安全约束放进 Anthropic containment 五道防线框架里,可以更清晰地看到每一层的对位关系。第一道「网络层隔离」对应的是 Agent 不能直接访问任意文件路径,所有路径访问必须经过 MCP 服务器校验;这一条把 Agent 的「文件访问面」从「整个文件系统」收窄到「白名单内的若干路径」。第二道「身份层隔离」对应的是 Agent 创建的临时文件用 Agent 自身 UID 隔离,与人类用户的临时文件从所有权上分开;这一条让任何「Agent 误把临时文件写到用户目录」的事件立刻被文件系统权限拒绝。第三道「供应链层隔离」对应的是 Agent 能调用的 MCP 文件服务器必须先注册到白名单,新增 MCP 服务器要走变更审批;这一条把「Agent 文件访问」的供应链入口收窄到可控范围。第四道「运行时监控」对应的是 Agent 对临时文件的每一次读写都要写入审计日志,并对异常事件(如临时文件大小超过 100MB、临时文件路径不在项目目录内、临时文件 TTL 过期仍未清理)实时告警。第五道「模型层自觉」对应的是 Agent 在被告知「我可能在读取 / 写入危险路径」时主动停止并向人类求助,这与 Anthropic containment 报告里强调的「our latest model stopped once it recognized it was on the internet」思路一致。
五、Prompt Injection 经由文件路径触发的工程难题
「Agent 与人类共享临时文件」场景下还隐藏着一类特殊的工程难题:prompt injection 通过文件路径触发。攻击者可以在某个看似无害的文档(README.md、CHANGELOG.md、PR 描述)里嵌入一段 prompt injection 文本,这段文本在 Agent 读取时被自动加载到 Agent 上下文,触发 Agent 执行越权操作。Anthropic 在 2026-07-30 containment 报告里专门点名了 prompt injection:prompt injection—a type of cyberattack where malicious instructions are fed to an AI model, causing it to either override its prior directions or perform unintended actions that deviate from the user's original intent. Since Claude can interpret screenshots from computers connected to the internet, it's possible that it may be exposed to content that includes prompt injection attacks. 在文件场景下,Agent 读到的每一份文件都可能携带 prompt injection,任何「Agent 把文件内容当作指令执行」的事件都需要被审计与告警。这一类风险与 Anthropic containment 第二起事件里「Claude 通过 PyPI 包发布做攻击载荷投递」具有相同模式——攻击载荷是合法的,触达路径是合法的,但 Agent 基于错误前提(把真实环境当成模拟环境)执行了不该执行的动作。
六、协议层设计的五条基本原则
把视线从工程风险层拉到协议层设计原则。任何「Agent 与人类共享临时文件」的协议设计,在工程上都应当遵循五条基本原则。第一条是「显式授权」:任何 Agent 对文件的读写都必须由人类在协议层显式授权,而不是依赖 Agent 自身的环境变量或本地配置文件;这一条与 Checkly 在 2026-03-26 文章里强调的 Confirmation Protocol 同源——没有显式确认,Agent 不能直接动手。第二条是「最小权限」:Agent 对任何文件的读写都应当遵循「读最窄范围、写最小动作」原则,而不是一次性授予整个目录的读写权限;这一条对应 Linux 的传统最小权限模型。第三条是「可撤销」:任何 Agent 拿到的临时文件读写权限都可以在任意时刻被人类撤销,撤销后 Agent 必须立即停止读写并把控制权交还。第四条是「跨平台一致」:协议层必须能在 macOS / Linux / Windows 三类主流开发机上保持一致语义,任何平台差异(大小写敏感、路径分隔符、符号链接)都不能成为安全漏洞。第五条是「可观测性优先」:任何 Agent 对文件的读写都必须先写入审计日志再执行实际操作,这一顺序确保了事后回溯的可靠性——即使 Agent 在操作过程中崩溃,审计日志也已经完整。
- 显式授权:任何 Agent 对文件的读写都必须由人类在协议层显式授权,而非依赖 Agent 自身的环境变量或本地配置。
- 最小权限:Agent 对任何文件的读写都遵循"读最窄范围、写最小动作"原则。
- 可撤销:任何 Agent 拿到的临时文件读写权限都可以在任意时刻被人类撤销,撤销后 Agent 必须立即停止读写。
- 跨平台一致:协议层必须在 macOS / Linux / Windows 三类主流开发机上保持一致语义。
- 可观测性优先:任何 Agent 对文件的读写都必须先写入审计日志再执行实际操作,事后回溯不依赖操作成功。
七、企业落地的四步流程
把视线从协议原则拉到企业落地路径。一个严肃的「Agent 与人类共享临时文件」项目,在企业落地时通常会走四步流程。第一步是「路径白名单梳理」:把企业内 Coding Agent 需要访问的所有路径整理成一张白名单,按项目、团队、职能分类,任何不在白名单上的路径请求一律拒绝;这一步是整个项目的基础。第二步是「MCP 文件服务器实现」:基于 MCP 协议实现一个企业内部的 MCP 文件服务器,负责路径白名单校验、临时文件 TTL 管理、所有权隔离、审计日志写入;这一步是项目的核心,通常需要 200-500 行 Python / TypeScript 代码。第三步是「客户端适配」:为 Claude Code / Cursor / Continue / Cline 等每种 Agent 客户端编写一个适配层,把它默认的文件读写请求路由到企业内部 MCP 文件服务器,而不是让 Agent 直接调用本地文件系统。第四步是「审计与告警」:把审计日志接入企业 SOC(安全运营中心)的标准响应流程,与现有的人员身份、设备指纹、网络出口审计打通;这一步让任何「Agent 文件访问异常」事件可以触发自动响应。这四步走完,Agent 与人类共享临时文件就能从「裸奔」升级到「受控」。
- 路径白名单梳理:把企业内 Coding Agent 需要访问的所有路径整理成一张白名单,按项目、团队、职能分类。
- MCP 文件服务器实现:基于 MCP 协议实现一个企业内部的 MCP 文件服务器,负责路径白名单校验、TTL 管理、所有权隔离、审计日志。
- 客户端适配:为 Claude Code / Cursor / Continue / Cline 等每种 Agent 客户端编写适配层,把文件读写请求路由到企业内部 MCP 文件服务器。
- 审计与告警:把审计日志接入企业 SOC 的标准响应流程,与现有的人员身份、设备指纹、网络出口审计打通。
八、整体趋势:文件访问治理是 Coding Agent 的硬骨头
把视线从企业落地拉回到 Coding Agent 工程的整体趋势。2026 年的 Coding Agent 讨论里,有一个反复出现但很少被明说的判断:Agent 文件访问的工程难度,远高于 Agent 代码生成的工程难度。代码生成只是「写一份 .ts / .go / .py 文件」,文件访问治理则是「路径白名单 + 临时文件 TTL + 所有权隔离 + 审计日志 + prompt injection 防护」五层工程叠加,任何一层失守,前面四层全部白做。Anthropic containment 报告里强调的 defense-in-depth,本质就是要求这五层全部落地;Checkly 在 92M-message 重写案例里把工具栈 Code & CLI 优先作为基础,正是为了让 Agent 的文件访问面收敛到 MaC 仓库这一个明确范围。下一阶段的 Coding Agent 工程,会越来越围绕「MCP 文件服务器 + 路径白名单 + 临时文件 TTL + prompt injection 防护 + 审计与告警」这五个轴心展开;Agent 与人类共享临时文件这一具体场景,会沿着同一框架被反复实践。
结语:五层工程基础是协议层抽象的前提
最后回到工程基线本身。Agent 与人类共享临时文件这一场景的真正教训,从来不是 Agent 不应该读 / 写文件、文件访问权限管理太复杂,而是企业把 Coding Agent 部署在本地开发机上后,却没有把 Coding Agent 对文件系统的访问面同步纳入 MCP 协议层的可控范围。把 Agent 的文件访问当成「Agent 自己负责」的边界,只会让 prompt injection 通过文件路径触发越权操作、临时文件越积越多无人清理、所有权混乱让 Agent 与人类相互覆盖破坏文件;真正落地的项目,无一不是把 MCP 文件服务器、路径白名单、临时文件 TTL、所有权隔离、审计与告警五层前置,而不是等 Agent 反复翻车之后再补。任何「Agent 与人类共享临时文件」的协议层方案,都应当在这五层工程基础之上再做协议层抽象;没有这五层基础,任何协议层方案都只是空中楼阁。