国内用编码 agent 起步：接国产模型、控制技能数量、看住账单与安全
发布于 2026-10-12
刚装上编码 agent 的人，头两周通常要处理四件事。编码 agent 指在终端里运行、能读代码、改文件、执行命令的 AI 助手，比如 Kimi Code CLI、Qwen Code、OpenCode。
- 选 agent 和模型：找一条能长期、合规使用的路线。
- 控制技能数量：技能（skill）是一份告诉 agent 某类事该怎么做的说明文件。见到就装，装多了反而影响效果。
- 看住账单：模型按 token（模型处理文字的计量单位）计费，包月套餐也有用量额度，一个长任务跑完，不知道花了多少。
- 加护栏：agent 能执行命令，误删文件、读到密钥、装到有问题的第三方技能，都可能发生。
先说清边界。Anthropic 的支持地区政策写明，Claude.ai、Claude Code 等应用和 API 只在列出的国家和地区提供，列表里没有中国大陆；人在未列出的地区时使用，也不在支持范围内。IT之家 2026 年 9 月 12 日的梳理文章提到，频繁切换 IP、用虚拟卡支付等做法可能触发账号限制甚至永久封禁。本文只讲三类用法：用国产模型厂商自己的 agent；用开源 agent，按模型厂商的官方文档接国产模型的官方接口；在本机跑开源模型。不涉及翻墙、购买或共享海外账号。
从哪里开始
| 你的情况 | 先做什么 | 用什么 |
|---|---|---|
| 第一次用编码 agent | 装一个国产厂商的终端 agent，先让它读懂一个小项目 | Kimi Code CLI 或 Qwen Code |
| 想自己挑模型、随时换 | 装一个开源 agent，按模型厂商的文档接入 | OpenCode，配 DeepSeek、智谱或阿里云百炼的接入文档 |
| 代码和资料不能离开本机 | 在本机跑开源模型 | Ollama |
| 技能装了一堆 | 列出来，删掉不常用的，以后按任务找 | skills、Find Skills |
| 担心账单 | 每天看一次用量，压缩命令输出 | ccusage、RTK |
| 担心误删和泄密 | 拦截危险命令、加沙箱、装技能前审依赖 | CC Safety Net、Sandbox Runtime（srt）、Supply Chain Risk Auditor |
第二步到第四步的工具大多用 npm 或 npx 安装。npx 是 Node.js 自带的命令，临时下载一个工具并运行它，所以要先在本机装好 Node.js（CC Safety Net 要求 18 以上）。
第一步：选 agent 和模型
要交给 agent 的：一个不重要的小项目或练习仓库。先让它只读不改，确认模型接通、回答靠谱，再用到正式项目上。用到正式项目之前，先装好第四步的 CC Safety Net，重要的仓库先提交或备份。
路线一、路线二一般都要付费：要么买包月套餐，要么在厂商的开放平台充值、按用量扣费。下面每条路线都写了要准备什么。文中的 API Key 是调用模型接口用的密钥，在厂商的开放平台申请，泄露后别人可以用你的额度，不要发给别人，也不要提交到代码仓库。
路线一：直接用国产厂商的终端 agent
第一次用的话，这条路最省事：agent 和模型来自同一家，登录、计费、出问题找谁都清楚。
curl -fsSL https://code.kimi.com/kimi-code/install.sh | bash
装好后在项目目录里运行 kimi，第一次启动时输入 /login，有两种登录方式：用 Kimi Code 账号登录，这要先订阅 Kimi Code 套餐；或者填 Moonshot 开放平台的 API Key，按用量从余额扣费。按 README 的说明，它是单个可执行文件，不需要装 Node.js；Windows 上要先装 Git for Windows，并改用 PowerShell 安装脚本。从插件市场或 GitHub 安装技能、MCP 服务（MCP 是让 agent 调用外部工具和数据的一种接口标准）时，它会先显示这个来源的信任级别。
curl -fsSL https://qwen-code-assets.oss-cn-hangzhou.aliyuncs.com/installation/install-qwen-standalone.sh | bash
装好后重开终端，在项目目录运行 qwen，在会话里输入 /auth 配置服务商和 API Key。网上不少旧教程说 Qwen Code 可以免费登录，但按官方认证文档，Qwen OAuth 的免费额度已在 2026 年 4 月 15 日停用。现在推荐用阿里云百炼的 Coding Plan（包月）或 Token Plan（按 token 计费），也可以填其他服务商的 API Key，或者接本地模型。它另有桌面版和 VS Code、JetBrains 插件，还能接钉钉、飞书、微信等聊天渠道。
路线二：用开源 agent，按模型厂商的文档接入
想自己挑模型，或者在几家厂商都有账号，可以用一个不绑定厂商的开源 agent。
curl -fsSL https://opencode.ai/install | bash
README 里还有 npm、Homebrew（macOS 上常用的软件安装工具）和 Windows 上 Scoop、Chocolatey 的装法，另有桌面版。它内置两种模式，按 Tab 键切换：build 能改代码、执行命令；plan 默认不改文件，执行命令前先问你，适合刚开始只读不改的阶段。
接国产模型，照模型厂商自己的文档做：
| 厂商 | 怎么接 | 要准备什么 | 官方文档 |
|---|---|---|---|
| DeepSeek | 在 OpenCode 里输入 /connect，选 deepseek，填 Key | DeepSeek 开放平台的 API Key；OpenCode 不低于文档要求的版本 | DeepSeek 的 OpenCode 接入文档 |
| 智谱 | 运行 opencode auth login，选 Zhipu AI Coding Plan，填 Key | GLM Coding Plan 套餐的 API Key，要用文档里的专属 Coding 接口 | 智谱的 OpenCode 接入文档 |
| 阿里云百炼 | 按文档编辑 ~/.config/opencode/opencode.json | 按量计费、Coding Plan、Token Plan 各用一个接口地址，Key 要配套 | 百炼的 OpenCode 接入文档 |
接好后在 OpenCode 里输入 /models 选模型。模型名会随厂商发布新模型而变，以文档为准。
关于 Claude Code
已经在用 Claude Code 的人，要先知道两件事：
- Claude Code 不是开源软件。仓库的许可说明写明，使用受 Anthropic 商业服务条款约束；该条款的 D.2 要求用户遵守上面提到的支持地区政策。
- DeepSeek、月之暗面、智谱、阿里云百炼的官方文档都写了怎么把 Claude Code 接到自家模型（DeepSeek、月之暗面、智谱、阿里云百炼）。这类接法由模型厂商提供和支持，不是 Anthropic 的服务，配置和计费的问题要找模型厂商；它也不改变 Anthropic 的条款。
人在中国大陆的读者，本文建议在路线一到路线三里选。
路线三：代码不能离开本机时，用本地模型
curl -fsSL https://ollama.com/install.sh | sh
装好 Ollama 和 OpenCode 后，运行 ollama launch opencode，按 Ollama 的文档把 OpenCode 接到本机模型。文档写明 OpenCode 要求上下文长度（模型一次能读进的文字量）在 64k 以上，所以要选上下文够长的模型，并在 Ollama 里把上下文长度设到 64k 以上；文档给的本地模型列表，是 Ollama 网站上支持工具调用（tools）的那一类。Ollama 同时提供本地和云端模型，要内容不出本机，只选本地模型。用 Qwen Code 的也可以接本地模型，它的 README 写了支持 Ollama、vLLM。效果和速度取决于你的电脑和所选的模型，先拿小任务试。
接通之后，不管走哪条路线，都先用这段话试一次：
先不要修改任何文件。读一遍这个项目，告诉我：每个主要目录放的是什么、怎么在本机跑起来、测试命令是什么。最后列出你拿不准的地方，不要猜。
第二步：技能少装，用到再找
要交给 agent 的：当前这项任务的描述，让它去找合适的技能，而不是你先装一堆备着。
技能为什么不能见到就装：按 Agent Skills 规范，agent 启动时会把每个技能的名称和简介都读进上下文，每个大约 100 个 token，正文要等用到时才加载。agent 是看简介来决定用不用一个技能的。技能越多，每次会话开头的这份清单越长。Claude Code 的文档给了一个具体的例子：这份清单的字符预算约为模型上下文窗口的 1%，超出时从最少使用的技能开始去掉简介、只留名字，agent 就更难在该用的时候想起它。
收拾技能可以这样做：
- 跟某个项目有关的技能装在项目目录里，只把每天都用的装到用户目录（全局）。
- Qwen Code 里输入
/skills打开技能面板，可以浏览、搜索、开关技能。 - 其他 agent 用下面的 skills 命令列出和删除。
npm install -g skills
README 里常用的几条：npx skills list 列出已装的技能；npx skills remove 加技能名删除；npx skills add 不加 -g 时装在当前项目，加 -g 才装到用户目录；npx skills use 生成一次性的提示词，不安装也能试一个技能。用 -a 指定目标 agent：Kimi Code CLI 是 kimi-code-cli，Qwen Code 是 qwen-code，OpenCode 是 opencode。
npx skills add vercel-labs/skills --skill find-skills -g -a kimi-code-cli -y
它要在每个项目里都能用，所以加 -g 装到用户目录；用 Qwen Code 或 OpenCode 时，把 -a 后面换成 qwen-code 或 opencode。有了它，就不用事先囤技能，遇到具体任务再问。它的说明要求 agent 推荐前先看安装量、来源是否可信、仓库是否有一定关注度，不能只凭搜索结果推荐。它替你装技能时默认也加 -g，只跟当前项目有关的技能，要让它去掉 -g。最后装不装，由你看过来源、按第四步的办法审过再决定。
我要把一批 Markdown 文档转成 Word。先查一下有没有合适的技能，列出名称、来源仓库、安装命令，以及你认为它可信的理由。先不要安装，等我确认；确认之后装在当前项目里，不要加 -g。
第三步：看住账单
要交给 agent 的：本机的用量报表，让它找出最费 token 的会话和原因。
先弄清自己买的是什么：
- 套餐和按量计费是两套。智谱的 GLM Coding Plan 要用专属的 Coding 接口地址，不是普通的 API 地址；阿里云百炼的按量计费、Coding Plan、Token Plan 各用一个接口地址，Key 也要配套。具体地址见路线二表格里的厂商文档。
- Kimi Code 套餐是会员订阅，Moonshot 开放平台的 API Key 按用量从余额扣费，两边分开算。
- 准确的用量和账单以厂商控制台为准，下面的工具帮你在本机看个大概、找出最费钱的环节。
npx ccusage@latest
不带参数时，它汇总本机检测到的所有 agent。只看某一个，在后面加来源和周期，比如 kimi daily、qwen daily、opencode daily；加 --since 2026-10-01 可以限定起始日期。有两点要注意：Kimi、Qwen、OpenCode 的统计在 ccusage 的文档里都标为实验性，可能随版本变化；费用一栏是按它自带的价格数据估算的，以美元显示，接国产模型时可能和实际账单对不上，README 说可以在 ccusage.json 里按模型名自定义价格。
brew install rtk
这条命令需要 Homebrew；Windows 用 winget install rtk-ai.rtk。装好后按所用的 agent 初始化：OpenCode 运行 rtk init -g --opencode，以插件方式自动改写命令，比如 agent 执行的 git status 会变成 rtk git status；Kimi 用 rtk init --agent kimi，README 写明这种接法是在当前项目的 AGENTS.md（给 agent 看的项目说明文件）里写规则，不是自动改写。重启 agent 后，运行 rtk gain 可以看省了多少。它有几点局限：README 自己说明，「最多减少 90%」指的是命令行（bash）的输出，不等于账单减少 90%；它只处理 agent 执行的命令行命令，agent 自带的读文件、搜索工具不经过它；README 的支持列表里没有 Qwen Code。
运行 npx ccusage@latest session，找出最近 token 用量最高的三个会话。说明每个会话在做什么、哪类操作最耗 token，再给出下次能少花的两三个具体做法。
第四步：给 agent 加护栏
要交给 agent 的：准备安装的第三方技能或 MCP 服务的源码，让它先审一遍，再由你决定装不装。
为什么要做这一步，可以看看今年 3 月的几件事。据北京青年报 3 月 8 日的报道，工信部网络安全威胁和漏洞信息共享平台监测发现，开源智能体 OpenClaw 的部分实例在默认或不当配置下存在较高安全风险，建议核查公网暴露、权限配置和凭证管理。南方都市报 3 月 12 日汇总了多所高校的通知：珠海科技学院要求立即彻底卸载；华南师范大学严禁在办公电脑和服务器上安装，严禁向它提供账号密码、科研数据；天津大学建议不给管理员权限、只在本机访问、限制工作目录、只装高信誉插件并审查源码。同一篇报道提到，国家互联网应急中心的警示列出了提示词注入、误操作、技能投毒和安全漏洞四类风险。
OpenClaw 是常驻电脑的个人助手，和编码 agent 不完全一样。但这几类风险编码 agent 同样有：它也能执行命令、读文件、装第三方技能。下面三个工具各守一道关。
npx -y cc-safety-net@latest install
npx -y cc-safety-net@latest doctor
需要 Node.js 18 以上。第一条命令把它装进本机检测到的编码 agent，第二条检查是否生效。README 列出的支持对象有 Kimi Code、OpenCode、OpenClaw、Claude Code、Codex 等，没有 Qwen Code。它按命令的实际作用判断，套一层 bash -c 也能识别。它不是沙箱：不限制进程，也不管网络。用 Qwen Code 的，可以用下面的 srt 包住要运行的命令，或者用 Qwen Code 自带的沙箱（README 的功能表里列有 Sandbox）。
npm install -g @anthropic-ai/sandbox-runtime
沙箱是把程序关在一个隔离的环境里，只让它碰指定的目录和网址。用 srt 包住要运行的命令，比如 srt "npm install"；接 MCP 服务时，把配置里的 command 换成 srt，原来的命令挪进 args。规则写在 ~/.srt-settings.json，默认不能联网、读取不限，写入只限少数默认路径，需要什么再逐项放开。下面这份配置让被包住的程序读不到 SSH 密钥、完全不能联网，除了 /tmp/claude 等少数默认可写的路径，只能写当前目录；它确实要访问某个网址时，再把域名加进 allowedDomains：
{
"filesystem": {
"denyRead": ["~/.ssh"],
"allowWrite": ["."],
"denyWrite": []
},
"network": {
"allowedDomains": [],
"deniedDomains": []
}
}
各平台要先装的东西：macOS 要装 ripgrep；Linux 要装 bubblewrap、socat、ripgrep，Ubuntu 24.04 及以上还要按 README 放宽 AppArmor 对用户命名空间的限制；Windows 支持还是 alpha 版，要先以管理员身份运行一次 npx @anthropic-ai/sandbox-runtime windows-install。整个项目是研究预览版，配置格式可能还会变。
npx skills add trailofbits/skills --skill supply-chain-risk-auditor -a kimi-code-cli -y
用 Qwen Code 或 OpenCode 时同样换掉 -a 后面的名字。需要本机装 uv（Python 的包管理工具），最好也登录 gh 命令行（不登录时 GitHub 接口的限额很低）。适合在装一个带 npm 或 Python 依赖的 MCP 服务、技能之前，把仓库克隆下来，先让它审一遍依赖。它只读依赖清单和锁文件（记录项目实际用了哪些依赖包、哪个版本的文件），不读项目自己的源码，也不读 pnpm-lock.yaml、yarn.lock、poetry.lock。所以技能的 SKILL.md、附带的脚本和钩子（agent 在特定时机自动执行的脚本），还是要自己打开看：有没有下载并执行远程脚本、读取密钥、往外发数据。
我准备安装一个 MCP 服务，仓库已经克隆到 ./vendor/some-mcp。先用 supply-chain-risk-auditor 审计它的依赖，再逐个读它的脚本和配置文件，列出：会联网的地方、会读写的本机路径、安装时自动执行的命令。只汇报，不要运行任何安装命令。
局限与风险
- 不走灰色渠道。 有些配置工具的 README 在赞助区推广第三方「中转」服务，声称用官方价格的零头转售海外模型。这类服务不是模型厂商的官方渠道，账号、数据和合规都没有保障，本文不推荐。购买或共享海外账号同理。
- 资料分级。 客户资料、病历、未公开的财务数据，不要交给你不了解数据政策的服务；涉密材料不进任何云端模型。用国产模型的官方接口之前，先读该厂商的隐私政策和数据使用条款。
- 权限给最小。 不用管理员身份运行 agent，不把 agent 的服务端口开放到公网，工作目录里只放这次任务需要的文件。
- 护栏不是保证。 CC Safety Net 只拦它识别得出的操作，srt 还是研究预览版，依赖审计只覆盖已知问题。重要仓库先提交或备份，再让 agent 动手。
- 信息会过时。 本文的命令、套餐名和厂商文档链接按 2026 年 10 月的官方页面整理，动手前以官方页面为准。
起步之后，想让 agent 按需求、测试、评审的顺序做事，可以接着看这个合集：