克隆陌生倉庫前先檢查 6 個 Agent 配置檔案

2026-11-02 00:01，DEV Community 的 AI 板塊刊登了一篇技術提醒文章，標題為《克隆陌生倉庫前，先檢查 6 個 Agent 配置檔案》。作者指出，當你克隆他人倉庫以復現某個 bug 時，如果在讀完第一行程式碼前就直接在該目錄下執行 Claude Code、Codex 或 Gemini CLI，倉庫自帶的配置檔案可能在你閱讀程式碼之前就執行命令或注入指令。

各家工具的信任機制各不相同，其中一個預設關閉，且 Claude Code 的信任確認在 claude -p 下不會出現。作者稱用 git grep 和 jq 大約一分鐘就能逐個查完這 6 個配置檔案。

文中舉例說明：Claude Code 的 hooks 參考文件將 .claude/settings.json 列為一個可提交的 hook 位置，這意味著倉庫可以攜帶針對你本地 Agent 的設定。文章目前停在對這一風險的提醒層面，未列出完整的 6 個配置檔案清單。