AI agent 幫工程師 fork 了 AI 工具，安全警告全被刪了

AI agent 幫工程師 fork 了 AI 工具，把安全警告全刪了，直接推上 npm。從這場事件看懂 just-bash 是什麼，以及 Vercel 和 Cloudflare 為何對同一工具有完全不同的需求。 ⭐ 文章深度讀：整理了 Vercel 和 Cloudflare 對同一工具截然不同的需求，以及這場 fork drama 真正的技術根源 → https://heymaibao.com/just-bash-ai-fork-drama/ ⚡ 章節重點 開場：工程師讓 AI 幫他刪光了安全警告 00:00 Just Bash 是什麼：AI 的專屬安全遊戲區 00:45 Vercel vs Cloudflare：同一工具，截然不同的需求 01:59 事件始末：週末的實驗怎麼變成公開風波 02:49 AI 為什麼刪了安全層 03:35 你分得出來嗎：AI 代勞時的新批判性思考 04:03 📝 懶人包 ∙ just-bash 是 Vercel CTO Malte 為 AI agents 設計的虛擬 Bash 環境。用 TypeScript 寫成，讓 agent 以為自己在操作真實的指令列，實際上被限制在一個 JavaScript 沙箱裡，目的是防止 agent 穿透 Node.js 存取真實系統 (環境變數、資料庫、其他用戶的請求)。 ∙ Cloudflare 工程師 Sunil Pai (前 React 核心成員) 看到後非常興奮，在西班牙度假期間讓 AI agent vibe code 了一個 Cloudflare workers 版本，直接放進官方 GitHub，命名為 @cloudflare/shell。fork 無意間移除了所有安全層和 beta 免責聲明，Malte 發現後發公開文章批評 (後來刪除)。 ∙ 事件以兩邊道歉收場：Sunil 解釋他只是在實驗，計劃週一再聯絡 Malte 討論加入 hooks 的可能；Malte 後來也道歉，承認自己不必要地讓 Sunil 受到了傷害。 ∙ 我的觀察：這件事最值得留意的地方不是 drama 本身，而是一個早期訊號。當 AI agent 開始幫人執行 fork、修改 readme、推送 package，「這個工具有在認真維護嗎？」這個問題變得越來越難靠 readme 來判斷。 📚 參考資料 Vercel vs Cloudflare: The Just Bash Situation → https://youtu.be/mVKxygo5Sdo?si=CokoM20vDyFb0GA0