為什麼讓 AI 代理不直接跑 shell 是必要的？TrueLink 的實務經驗顯示，讓 AI

在中小企業導入 AI 代理（AI Agent）自動化時，最常見的盲點就是：「只要讓 AI 自動跑指令，就能提高效率。」但這往往是資安災難的開始。TrueLink 的第一線實務經驗顯示，LLM 直接執行 shell 的行為，會讓系統暴露在不可控的指令風險下。我們強烈建議，讓 AI 代理只與已經驗證過的動作（Actions）互動——這並非技術上的閹割，而是建立企業數位信任的必要防線。

為什麼讓 AI 代理直接跑 shell 是高風險的？

AI 代理的強項在於處理重複性高、邏輯明確的任務。然而，當我們賦予它直接執行 shell 的權限時，等於是把系統安全寄託在「相信 AI 能自動分辨指令好壞」的假設上。在實際生產環境中，這個假設極度危險。

我們在實測中發現，AI 生成的 shell 命令，經常會因為模型對上下文的理解偏差，產生意料之外的副作用。最極端的例子是，AI 本來只想列出某個資料夾的檔案，卻因為路徑拼接或模型誤判，直接跑出 rm -rf / 這類毀滅性指令。這種風險不只是技術漏洞，會直接導致系統崩潰與企業核心資料遺失。

這也是為什麼 TrueLink 堅持，AI 代理不應該直接跑 shell，而是要與已經驗證過的工具互動。這不是要限制 AI 的發揮，而是把權限鎖在安全邊界內，讓 AI 只在有明確輸出範圍的沙盒中運作。

實務上該怎麼做？讓 AI 代理只與驗證過的動作互動

在具體落地時，我們最常用的架構是：把常見的 shell 命令封裝成經過驗證的函式（Functions）或 API，讓 AI 代理只能呼叫這些特定接口。舉例來說，當 AI 代理需要列出特定資料夾的內容時，我們不允許它直接執行 ls /path/to/folder，而是讓它呼叫一個寫好的 listFolderContents 函式。該函式會在後端安全地執行 ls，並將過濾後的結果回傳給 AI。

為了讓系統邊界更明確，我們通常會定義嚴格的介面結構，例如以下 TypeScript 宣告：

```typescript interface ListFolderContentsInput { /** 限制僅能讀取特定沙盒路徑，嚴禁路徑遍歷（Path Traversal） */ folderPath: "/var/log/app" | "/tmp/sandbox"; }

interface ListFolderContentsOutput { files: string[]; error?: string; } ```

這種設計能帶來三個立即的好處：

1. 精細的權限控制：你可以在函式內部寫死規則，例如限制只能讀取特定路徑，嚴禁任何刪除或修改行為。 2. 明確的錯誤處理機制：當底層執行失敗時，函式會回傳標準錯誤碼，而不是讓 AI 代理在終端機盲目猜測並胡亂嘗試下一步。 3. 透明的日誌與審計軌跡：因為所有操作都必須經過封裝好的函式，團隊可以精準追蹤每一次呼叫的來源、參數與執行結果。

這個做法完全符合 Google 的機械驗證原則：機械驗證（例如格式與邊界檢查）應由程式邏輯硬性處理，而不是交給 AI 去判斷有唯一正解的事。這正是 TrueLink 系統架構的核心原則。

驗證過的動作，怎麼定義？讓 AI 代理只與「已知範圍」互動

所謂「驗證過的動作」，在實務上有著非常明確的定義。以 OWL（Open Web Agent）框架為例，它內建了多種工具包，讓 AI 代理能與真實世界互動，但絕對不允許直接執行 shell。OWL 支援 MCP（Model Context Protocol），這讓 Agent 能夠控制桌面應用和 API，而不需要針對每個工具手動撰寫整合代碼。

透過這種方式，AI 代理的操作範圍被嚴格限制在「已知的工具包」內。這不僅降低了系統風險，也讓異常狀況更容易被追蹤與修復。

我們在實務中觀察到一個關鍵：多 agent 系統的穩定性取決於架構紀律，但這並不能保證底層模型理解偏差的問題能被解決。架構紀律解決的是「執行層面的可追溯性」，而不是「模型對任務的理解能力」。當你把三條紀律做好，你能做到的是：出錯時立刻知道是哪一層出問題、並能快速修復。但如果底層模型本身在某類任務上表現不穩定，嚴格的架構只是幫你把錯誤「更整齊地記錄下來」而已。

因此，限制 AI 代理只能與驗證過的動作互動，是建立數位信任的關鍵一步。這能確保 AI 在可控的邊界內運作，只做它能理解、且輸出結果可預測的事情。

如何在 TrueLink 系統中實作「驗證過的動作」？

TrueLink 的系統設計完全貫徹了這個理念。我們將所有常用的 shell 命令與系統操作，全部轉換為經過驗證的函式或 API。

以 TrueLink blog 的章節視覺生成為例，我們不讓 AI 代理直接去生成 SVG 代碼或 HTML 表格，而是透過封裝好的函式來處理。這確保了生成的內容既能被 AI 引擎正確讀取，又不會因為模型的隨機性而產生跑版或錯誤。

這種架構也讓審計變得非常簡單。TrueLink 的 blog 章節視覺，會在 render-time 生成 SVG 圖表與 markdown 表格，並透過 SSR（伺服器端渲染）直接渲染至原始 HTML 中。這確保了搜尋引擎與 AI 爬蟲能直接讀取到乾淨、結構化的內容，而不是只能抓到 AI 生成的模糊擴散圖。

在我們的系統中，每一次操作都有跡可循。當 AI 代理的操作範圍被明確限制時，系統的穩定性與可追溯性都會大幅提升。

讓 AI 代理只與驗證過的動作互動，是建立數位信任的關鍵

限制 AI 代理的行為邊界，並非技術上的妥協，而是確保企業系統安全與建立數位信任的必經之路。這不僅能將系統風險降到最低，還能讓所有錯誤在第一時間被定位與修復。

TrueLink 透過這套完整的驗證機制，把權限控制在安全邊界內，讓 AI 只做它能理解、有明確輸出範圍的事情。這正是 TrueLink 的核心價值——為 AI 時代奠定最穩固的數位信任基礎建設。