工具审批为何拦不住插件代码？从 CERT-EU 实验检查代理的执行边界

CERT-EU 在 2026 年 10 月 30 日发布的研究显示，工具审批只约束模型发起的调用，拦不住插件自身运行的代码。研究者在隔离实验室改造 Pi 1.3.0 和 Claude Code 2.1.304 两款现有插件的本地副本，用测试凭据观察收集与外发；普通代码评审短语即触发预埋逻辑，两个代理对话保持正常、未出现恶意的模型工具调用，但接收端分别收到了请求。作者据此指出审批检查的是模型请求了什么，而插件可在事件路径上直接调用系统能力，并提出按执行身份、资源可见性和网络出口三处核对的部署自查方法，同时提醒工具日志只记录模型请求，不能证明插件进程没有外传。