12 分鐘
讓 AI 代理自動批准指令有多危險：Pixel Crew 的 Bash 圍欄是怎麼補的
Pixel Crew 同時跑最多 20 個 Claude Code 與 Codex，自動批准不開沒辦法用。10 月 7 日那次安全審視抓到八種繞過，每一種附一行會繞過的指令、怎麼修，還有明講修不掉的部分。
Pixel Crew
Claude Code 與 Codex 的本機多代理工作台。最多 20 個 session 同時跑，每個是像素辦公室裡的一個 NPC，即時看它的回覆與工具呼叫，權限請求在任務紀錄裡直接核准或拒絕。
- 現況
- 維護中
- 平台
- macOS、Windows 10 22H2／11
- 技術
- TypeScript、React、Vite、PixiJS、xterm.js、Node.js、Express、WebSocket、node-pty、SQLite
- 授權
- MIT
Pixel Crew 把多個 Claude Code 和 Codex session 放進同一個畫面。每個 session 是一個 NPC，可以派任務給它，看它即時串流的回覆、思考和工具呼叫，跳出權限請求時在任務紀錄裡按允許一次、拒絕，或給這個 session 一條限定範圍的規則。
真正做事的是你電腦上已經登入的官方 CLI。Pixel Crew 不跟你要 API key，認證和用量都留在 CLI 那邊。
三種畫面
- 像素辦公室：預設畫面。NPC 走到對應目前工具的工作站，名牌顯示它正在做什麼，等你核准的人會出現在狀態列上，點一下直接跳過去。
- 專業工作台：全螢幕，最多四個窗格並排，看報告、切工作區、看用量、接著下指令。
- 黑窗：真的 Claude Code 和 Codex 終端機，由背景常駐程序持有。切頁、重新整理，終端機和版面都還在，開好幾個瀏覽器分頁也會同步。
怎麼組起來的
後端是 Node.js，Express 加 WebSocket。它替每個 NPC 啟動 CLI、讀串流輸出、整理成事件推給前端；黑窗的終端機用 node-pty 開。狀態存在本機 SQLite。前端是 React，辦公室用 PixiJS 畫，黑窗用 xterm.js。正式版把介面、API、WebSocket 放在同一個服務，只綁 127.0.0.1:8787，沒有雲端後端。
想用手機指揮可以開選用的 gateway：在本機服務前面加通行碼或 Google 登入，再用 cloudflared 或 Tailscale 開 HTTPS 通道。
自動批准是最容易出事的地方。Pixel Crew 的唯讀放行規則補過一長串繞過的寫法，這篇寫了每一個洞和最後的規則。
其他功能
- 共用記憶：一份本機的 Markdown，每個 Claude 和 Codex session 都會收到，各自走 CLI 原生的指示機制。
- 部門協作：交給「部門」的任務，由 Boss 拆成 PM、工程、QA 之間的依賴圖，每個部門拿到上游的報告，最後回一份彙整。
- 個人自動駕駛：讓一個 NPC 自己往下做。每一步有完成條件，先檢查上一步才繼續，做完、需要你決定、或卡住時才停。重新啟動後會接著跑。
- 本機語音輸入：對輸入框講話，出一份繁體中文草稿讓你改完再送。錄音和轉錄都在本機。
安裝
macOS 一行裝好，不用先裝 Node.js：
curl -fsSL https://github.com/juinwei7/Pixel-Crew/releases/latest/download/install-pixel-crew-macos.sh | /bin/bashWindows x64 下載 Pixel Crew.exe 點兩下。從原始碼跑要 Node.js 22.13 以上。不管哪種，電腦上至少要有一個登入好的 Claude Code 或 Codex CLI。
Pixel Crew 是我自己做的非官方工具，跟 Anthropic、OpenAI 沒有關係。
寫過的文章
這頁內容最後對照 repo 是 。