最近在 Hacker News 上看到一篇文章，标题很直白：Stop Using OpenCode。作者 Wren 用了大约五千字，把 OpenCode 的设计缺陷和安全问题翻了个底朝天。HN 评论区 240 多条回复，吵得不可开交。

但让我留意的是一条被忽视的线索——这场争论里最有技术含量的部分，不是 bug 有多严重，而是一个更根本的问题：AI 编码工具到底该怎么处理安全？

纸糊的护栏

先看几个绕过 OpenCode 权限系统的例子：

echo 'git clean -fdx .' | bash
python3 -c "import shutil; shutil.rmtree('/')"
cat ~/.ssh/id_rsa | base64

OpenCode 用 tree-sitter 解析 bash 语法树，再用正则表达式匹配危险命令。听起来合理？实际上这些过滤全都能用管道、heredoc、base64 编码绕过。

更离谱的是持久化权限陷阱。你在 OpenCode 里对 python3 回复了"Always Allow"，之后所有 python3 -c 命令都免检——包括读取你 SSH 私钥。文件权限过滤同样挡不住，shutil.rmtree("/") 照样畅通无阻。OpenCode 的默认行为就更吓人了：首次启动时输入一个字母回车，就能打通远程模型和本地 shell，模型 URL 从 models.dev 动态下载，也就是说——你不确认任何东西，就已经把完整系统访问权交给了互联网上的一段代码。