Kimi Code 2.1工作区加固：2.1.1已回退

Moonshot AI 的GitHub发布记录显示，Kimi Code CLI 2.1.0于2026年9月23日发布，加入符号链接越界拦截、项目配置信任门和后台Git配置执行限制；9月24日发布的2.1.1随后回退了部分加固，目前被标为最新版本。因此，想确认陌生仓库能否影响工作目录外的文件，必须核对正在运行的具体版本，不能只看“2.1”。

维护者在已合并的回退说明中写道：“once a user trusts a repository, content inside it is the user's own responsibility”。回退范围包括文件工具对符号链接目标的真实路径复查、项目本地配置生效前的信任检查、后台Git操作对仓库配置的限制，以及对过宽附加目录的拒绝规则。工作区信任提示仍有作用，但看到提示不能推断这些已撤回的限制仍在运行。

符号链接怎样越过工作目录

2.1.0处理的是路径名称与实际目标不一致的问题：文件工具接到的路径位于工作目录内，沿符号链接解析后却指向目录外。假设一个陌生仓库把源码目录中的链接指向用户主目录，代理随后读取、搜索或编辑该仓库路径；真正需要判断的是解析后的目标是否仍在获准范围内。链接放在普通目录、使用普通文件名，并不会改变这个判断。

2.1.0为文件工具增加真实路径复查，目的是拦下这类越界目标。这项边界针对文件工具，不能替代运行账户的文件权限，也不能约束代理通过Shell执行的每一种程序。构建脚本或依赖安装若获得命令执行权限，仍应按命令及其可访问的文件单独评估。

补丁回退复查后，不能因为任务只提到仓库内的相对路径，就认定代理只会接触仓库内文件。对未经审查的项目，符号链接的目标、运行账户能读取或修改的范围，以及代理获准使用的工具，共同决定了实际接触面。这里描述的是发布变更所涉及的边界，具体文件是否被访问还取决于仓库内容和实际执行的任务。

项目配置与后台Git为何也涉及信任

项目本地配置是另一条扩大工作区范围的入口。仓库中的 .kimi-code/local.toml 可以设置附加目录；2.1.0曾要求工作区先获得信任，才应用这类配置，并拒绝解析后指向用户主目录或文件系统根目录的附加目录。这样，打开项目与接受项目提出的额外访问范围，在执行顺序上被分开。

相关规则回退后，本地配置可不经过这道信任门生效，针对用户主目录和根目录的新增拒绝规则也被移除。这不表示每个仓库都会请求更大范围，但意味着只看顶层源码不足以判断代理会看到哪些目录。检查配置中的附加目录及其解析目标，才能知道项目要求扩展到哪里。

后台Git操作涉及命令执行而非文件路径。仓库自己的Git配置可以影响某些Git调用使用的外部程序；代理为了获取仓库状态或上下文而调用Git时，这些设置也可能进入执行链。2.1.0对后台操作施加了限制，补丁回退后相关调用重新使用仓库本地配置。这个变化针对后台Git调用，不能解释为所有Git命令都曾受到同一限制。

把这几项改动放在一起看，陌生仓库的内容并不只有源码文件。符号链接决定路径可能通向哪里，项目配置决定工作区可能扩到哪里，仓库Git配置则可能影响后台命令如何运行。信任仓库前需要审视的，正是这些能改变访问范围或执行行为的仓库内容。

补丁回退后，信任提示意味着什么

9月24日的独立技术简报记录了2.1.1对前一版本工作区加固的回退，以及文件监听默认设置的恢复。这个后续发布改变了版本选择的含义：2.1.0明确加入过这些边界，版本号更高的2.1.1却没有继续保留它们。把两者笼统称为“2.1的安全更新”，会掩盖对陌生仓库最关键的差别。

回退仍保留了部分与信任有关的行为：读取信任信息失败时按未信任处理并继续提示，界面底部的Git仓库探测也仍延后执行。它们分别影响提示判断和界面探测时机，不能替代文件工具的真实路径复查、项目配置的信任门或后台Git配置限制。因此，提示框说明工具正在询问信任决定，却不能单凭它判断上述访问边界已经生效。

公开的发布与回退记录没有给这组改动列出CVE编号或严重性评级。可以确认的是哪些限制曾被加入、哪些随后被撤回；不能据此推定存在已评级的漏洞，也不能推定所有仓库都会触发相同后果。对开发者来说，实际运行版本与获准权限，比一个笼统的“已升级”状态更能说明当前风险。

该核对哪个版本，权限怎样收紧

按发布页的当前标记，2.1.1是最新补丁；如果工作流程明确依赖符号链接真实路径复查、项目配置信任门和后台Git配置限制，就不能把安装2.1.1视为保留了2.1.0的这些保护。固定2.1.0也不是陌生仓库的完整隔离办法：文件工具之外的命令、运行账户权限和网络入口仍需要单独控制。升级或自动更新之后，应先确认实际运行的版本，再决定给项目多大权限。

处理未经审查的仓库时，可把最低权限落实到以下几处：

在信任项目之前，查看符号链接的解析目标、.kimi-code/local.toml 中的附加目录，以及可能调用外部程序的仓库Git配置；发现超出任务所需的路径或设置时，先缩小工作区范围。
用只覆盖任务所需文件的工作目录和低权限账户运行代理，不把用户主目录、凭据目录或文件系统根目录一并交给会话；文件工具的边界不能代替操作系统权限。
核对当前权限模式和已有的自动允许规则。面对陌生项目，保留修改文件与执行命令时的人工确认，尤其留意构建、依赖安装及脚本调用。
若使用本地网页会话，检查监听地址和鉴权设置；只需本机访问时收紧网络绑定，避免把能操作会话的入口开放给非预期设备。

在后续版本重新明确这些工作区规则之前，陌生仓库能触及的范围，最终由实际安装的版本、仓库内容和运行账户获准使用的文件与命令权限决定。