凭证在环境中随处可用，Agent 可以访问一切。
| Agent | 状态 |
|---|---|
| Claude Code | 本地执行，环境变量直接可用 |
| omp | 本地执行，环境变量直接可用 |
| Aider | 本地执行 |
| OpenCode | 本地执行 |
| Cursor | 本地执行 |
Agent 在隔离的云端容器中执行，与本地环境分离。
| Agent | 实现方式 |
|---|---|
| Codex | 云端沙箱，独立容器 |
| Devin | 云端一体环境 |
优点：本地凭证不暴露给 Agent；执行环境可销毁重建 缺点：依赖云端服务；无法访问本地资源
Hermes 文档描述的是一套 8 层防御模型，而不是统一的”凭证关卡”：危险命令需要审批，MCP 子进程有环境变量隔离，容器后端提供隔离执行环境。文档中没有名为 “Credential Guard” 的统一凭证关卡，也没有凭证访问审计日志。
| Agent | 实现方式 |
|---|---|
| Hermes | 8 层：用户授权、危险命令审批、文件写入安全、容器隔离、MCP 凭证过滤（环境变量隔离）、上下文文件扫描、跨会话隔离、输入净化 |
已文档化的机制：
approvals.mode 为 smart（默认，用小模型评估风险）/ manual / off；审批超时默认拒绝来源：https://hermes-agent.nousresearch.com/docs/user-guide/security
做了什么：检测中国用户时区（Asia/Shanghai、Asia/Urumqi）并把 ANTHROPIC_BASE_URL 主机名与内置代理域名黑名单对照，用 Unicode 隐写把分类结果嵌进 system prompt。
关键点：机制在 system prompt 内，与遥测端点上报不是同一条通道；改时区才能避免标记（VPN 无效）。
来源：业界复盘 https://meshlaunch.com/en/blog/2026-claude-code-backdoor-miit-warning.html、遥测变量说明 https://ghuneim.us/blog/disabling-claude-code-telemetry/。NVDB（工信部）2026-07-08 的通告是原始出处，本次未能直接抓取，其日期与定性经上述复盘交叉确认。