【2026 最新】Agent-Reach 安全驗收：Claude Code 讀 X、Reddit、YouTube，不交出主帳號 Cookie

你想讓 Claude Code 幫你讀網頁、找 GitHub 專案、整理 YouTube 字幕，甚至搜尋 X 與 Reddit；這時，Agent-Reach 看起來像是一個「一次接好全部來源」的捷徑。但真正危險的不是指令會不會跑，而是你可能在不知情時把主帳號 Cookie、瀏覽器登入態，以及整台電腦的讀取權一起交給一串會持續更新的上游工具。這篇 Agent-Reach 安全驗收，要解決的正是這個落差。

我會用完全新手也能照做的方式，把安裝拆成「固定版本、隔離環境、免登入實測、登入態阻擋、完整退出」五關。你不必先懂 MCP 或 Cookie；讀完後，你會有一張能判定「可用、不可用、先不要用」的驗收單，而不是只看到一排綠色勾勾。

先說結論：Agent-Reach 安全驗收不是把 doctor 跑成綠色

安全接網 = 能力可驗證 × 憑據可隔離 × 變更可回滾。三項只要有一項是零，整體就不算通過。

• 先通過：公開 Web、公開 GitHub、RSS，以及你有權處理的公開 YouTube 素材。
• 先阻擋：任何會讀瀏覽器登入態、要求貼 Cookie、或使用非官方自動化路徑的 X／Reddit 測試。
• 通過條件：doctor 結果與實際固定題庫都成功，而且卸載後的殘留物逐項有處置。
• 最小風險做法：在可拋棄 VM 或獨立作業系統帳號測試；主瀏覽器設定檔從檔案系統層就不可讀。

截至 2026 年 9 月 16 日，GitHub 專案頁對應的官方 repository API 顯示專案有 82,016 顆星；這是採用熱度的快照，不是安全認證。本文所有程式碼判讀都固定在 commit a19a171，因為浮動的 main 隔天就可能不是同一套行為。

Agent-Reach 是什麼？把它想成「轉接盤」

Agent-Reach 本身不是一個全能瀏覽器。依照專案說明與目前程式碼，它負責安裝、設定、診斷及告訴 Agent 該呼叫哪個上游；真正讀內容的可能是 Jina Reader、gh、yt-dlp、mcporter、twitter-cli 或 rdt-cli。所以供應鏈不是一個專案，而是一串工具。

這也解釋了為什麼「安裝成功」不等於「來源讀得到」。在固定 commit 中，Web 的 doctor 狀態不會發出網路請求；YouTube 主要檢查 yt-dlp 版本與 JavaScript runtime；X 只檢查顯式憑據是否存在，不做即時登入；Reddit 也不會拿一篇貼文完成端到端讀取。Web channel 程式碼與YouTube channel 程式碼把這個邊界寫得很清楚。

第 0 關：先畫威脅模型，不要先貼 Cookie

先問四個問題：誰能讀到憑據？工具能連到哪些網域？安裝會改哪些目錄？退出時誰負責撤銷登入？如果答案只是「應該不會」，就停在這一關。

Cookie 為什麼不能貼進 Claude Code 對話？

Claude Code 會把工具看到的文字、命令輸出與檔案內容納入工作階段；Anthropic 的資料使用文件也說明提示與輸出會送往模型服務。這代表把完整 Cookie 貼進對話、命令參數或可回顯的 log，不是「只存在本機」。若某個驗收非得使用憑據，應由使用者在模型看不到的介面手動輸入，而且只用隔離的測試帳號。

更重要的是，上游工具可能自己找瀏覽器登入態。本文稽核的 twitter-cli 認證程式會檢查多種瀏覽器，某些驗證失敗後還可能改走瀏覽器 Cookie；rdt-cli 認證程式也有瀏覽器擷取與本機憑據檔流程。因此，只開一個「專用 Chrome Profile」仍不夠；主 Profile 必須對測試環境不可讀。

平台條款是功能閘門

截至本文檢查日，X 使用條款限制未經許可的 scraping／自動化存取，Reddit User Agreement也限制未獲允許的自動蒐集；YouTube 條款對自動存取與下載另有明文限制。測試帳號只能縮小帳號損害，不能把原本未獲允許的做法變成合規。

因此，這份流程預設只驗收免登入公開來源、你擁有或獲授權的內容，以及平台官方 API。X／Reddit 的 Cookie 路徑留在「阻擋」欄；只有你能證明使用情境與平台許可相容時，才移到隔離測試環境繼續。

第 1 關：固定版本，在可拋棄環境做靜態盤點

官方快速安裝抓的是會變動的 main.zip。安全驗收則要先固定 commit，並把測試放進一次性 VM、容器，或沒有主帳號瀏覽器資料的獨立 OS 使用者。以下示範的是本文已稽核的快照；之後要升級，就重新跑整套驗收。

curl -fL "https://github.com/Panniantong/Agent-Reach/archive/a19a171fa980a0785849596492e0af4db800c82f.zip" -o agent-reach-a19a171.zip
printf '%s  %s\n' '23c314cd6e70c318e737ceff4b3dc9761d9e239922b7d9596391dcf6e406dbaf' 'agent-reach-a19a171.zip' | shasum -a 256 -c -
pipx install ./agent-reach-a19a171.zip
agent-reach version
agent-reach install --env=auto --dry-run

上面的 SHA-256 是本文在 2026 年 9 月 16 日下載該 commit 壓縮檔後得到的值；不相符就停止，不要安裝。先不要加 --system。目前的預設 agent-reach install --env=auto 是檢查模式；只有顯式加入 --system 才會安裝或設定外部工具。固定版本的安裝文件列出 Node.js、GitHub CLI、mcporter、Exa、yt-dlp 與 Skill 等可能變更。

這裡不能只記 agent-reach version：目前 main 已比 v1.5.0 tag 多出後續提交，但 pyproject.toml 仍回報 1.5.0。commit URL、壓縮檔 hash 與實際依賴清單，才共同構成可重現版本。

--dry-run 是預覽，不是逐檔 transaction log。你仍要自己記錄四類證據：套件與版本、預計寫入的設定路徑、Agent Skill 目錄、外部命令與網域。任何需要管理員權限、全域 npm、套件管理器或瀏覽器擴充功能的步驟，都要拆成單獨批准。

若要測 Exa，再多做一個 provenance 閘門：mcporter 官方設定文件顯示它會合併 home、project 與匯入來源，專案內設定可能改寫同名 server。測試時應指定一份獨立的 MCPORTER_CONFIG，明確設為 "imports": []，只放經審查的 Exa endpoint，並在第一次呼叫前查看 resolved config 的來源。

用 Claude Code 時，再加一層硬隔離

Claude Code 官方 sandbox 文件說明，沙箱能在作業系統層限制檔案與網路，而且可關閉失敗後的 unsandboxed 重試。第一次只從空白測試專案啟動，並把以下內容存進該專案的 .claude/settings.json：

{
  "sandbox": {
    "enabled": true,
    "allowUnsandboxedCommands": false,
    "failIfUnavailable": true,
    "filesystem": {
      "denyRead": ["~/"],
      "allowRead": ["."]
    }
  }
}

這個設定刻意讓整個家目錄不可讀，只重新開放目前專案。先確認 /sandbox 顯示規則真的生效；若 Agent-Reach 需要寫入家目錄，就不要放寬日常帳號，而是在可丟棄的 OS 使用者或 VM 內執行。官方文件也指出，沙箱缺少相依套件時預設可能退回非沙箱執行，所以 failIfUnavailable 不能省。

第 2 關：Agent-Reach 安全驗收先測免登入 channel

現在才跑診斷，而且保留 JSON，讓每次升級能 diff：

agent-reach doctor --json > doctor-before.json

接著用固定題庫做端到端測試。每題都要留下「命令、時間、來源 URL、非空內容、錯誤訊息」；只看退出碼不算。

1. Web：讀取一個你事先保存摘要的公開官方頁；回傳必須包含指定段落與原 URL，反爬驗證頁算失敗。
2. GitHub：執行 gh repo view Panniantong/Agent-Reach --json nameWithOwner,url；owner、repo 與 URL 三者一致才通過。
3. RSS：讀一個已知有日期與標題的官方 feed；至少比對最新一筆的 GUID、標題與連結。
4. YouTube：只選你擁有、已獲授權，或平台明確容許處理的影片；驗收非空字幕檔、語言與影片 ID，而不是只確認 yt-dlp --version。

如果 doctor 顯示可用、實際題庫卻失敗，結論要寫「診斷通過、能力失敗」，不能把它平均成勉強可用。你也可以把相同題庫帶進 AI Agent 搜尋 API 小型 Eval，比較受控 API 的結果。

第 3 關：X、Reddit 不用主帳號 Cookie，該怎麼讀？

答案不是「換一個外掛偷讀」。順序應該是：公開 URL 的免登入閱讀 → 受控搜尋服務回傳的索引結果 → 平台官方 API → 已取得許可後的隔離帳號。若前三條已滿足需求，就不啟用 Cookie 路徑。

對 X 單篇公開 URL，可先測公開 Web reader 是否回傳原文與來源；搜尋、時間線或完整對話則優先用合規 API。對 Reddit，可先用搜尋 API 找到公開 permalink，再由人類或受控瀏覽器開啟；如果你常遇到來源讀取失敗，Claude 讀不到 Reddit 的四種來源備援有一套不把單一路徑當真相的工作簿。

若組織已確認平台許可且確實要驗收 Cookie backend，請把它視為獨立高風險專案：使用沒有個人資料的 OS 帳號或 VM、全新的平台測試帳號、獨立瀏覽器安裝、限定出口網域，並由人類在模型外輸入憑據。不要把 Cookie 放進 prompt、shell history、命令參數、螢幕錄影或 debug log；測完立刻撤銷所有 session，再從平台的登入活動頁確認。

Agent-Reach 提供的 agent-reach configure twitter-cookies 使用隱藏輸入，這比把值直接寫在命令列好；但它仍會把抽出的值寫進 ~/.agent-reach/config.yaml，而且直接執行上游 twitter 時還要另行傳遞環境變數。這些是「需要額外管理的秘密」，不是一次設定後就消失。

第 4 關：做 A/B Test，不要只問「讀得到嗎」

拿同一組 10 題，分別交給 Agent-Reach 路徑、付費搜尋 API，以及受控瀏覽器。每題只記五個值：

• 成功率：是否拿到可讀正文，而不是登入頁或驗證頁。
• 來源完整性：標題、作者、日期、原始 URL、引用段落是否齊全。
• 可追溯性：能否從答案回到同一份原文。
• 維護成本：一週內需要人工修復、重新登入或換 backend 幾次。
• 風險面：用了哪些 token、Cookie、瀏覽器資料與對外網域。

不要預先替任何方案填分數。成功率必須由你的網路、題庫與日期實測得出。若你要把流程做成可重跑的研究 harness，可接著看OpenResearch 三路研究與驗收收據；如果需求是登入共享與瀏覽器隔離，則比較ego-lite 安全隔離實戰的邊界。

第 5 關：卸載不是一句指令，而是一張收據

先預覽，再執行 Agent-Reach 自己擁有的清理：

agent-reach uninstall --dry-run
agent-reach uninstall

接著不要急著說「已完整移除」。固定 commit 的卸載程式碼會清理 Agent-Reach 設定與 Skill 目錄，但 Python 套件、部分外部工具與無法證明來源的 MCP 設定會交由使用者判斷；上游憑據還可能位在 ~/.config/rdt-cli/、瀏覽器 Profile 或其他工具目錄。

1. 比對安裝前後的套件清單、Skill 目錄、MCP server、shell 設定與瀏覽器擴充功能。
2. 逐項標成「原本就有／這次新增／來源不明」，只移除能證明屬於本次測試的項目。
3. 從 X、Reddit、YouTube 或 Google 帳號的 session 管理頁撤銷測試登入；Cookie 曾進入 transcript 時，憑據一律輪替。
4. 重新啟動乾淨 shell，再跑原固定題庫；命令不存在或權限被拒才是退出證據。
5. 保存 doctor-before.json、安裝批准、實測結果與卸載後差異，形成可稽核收據。

這裡刻意不提供一條大範圍刪除指令，因為同一個 gh、Node.js 或 mcporter 可能早已被其他工作使用。可回滾的核心不是「刪得多」，而是「每個刪除都有來源證據」。

Agent-Reach 安全驗收通過表

• 版本已固定到 commit，依賴與檔案 hash 有紀錄。
• --dry-run 輸出已人工審查，--system 沒有被默認批准。
• 測試環境讀不到主帳號瀏覽器 Profile、SSH、雲端憑據與日常家目錄。
• doctor --json 與固定題庫都保存；每個 channel 有來源 URL 與實際內容證據。
• X／Reddit Cookie 路徑預設阻擋；若例外啟用，有平台許可、專用帳號與 session 撤銷紀錄。
• 卸載後完成差異比對，外部工具與 MCP 殘留逐項處置。
• A/B Test 顯示它在你的題庫上，確實比受控 API 或瀏覽器更合適。

常見問題 FAQ

1. Agent-Reach 可以直接裝在日常用的 Claude Code 嗎？

不建議把第一次驗收放在日常帳號。先用可丟棄 VM 或獨立 OS 使用者，因為 --system 會牽涉多個外部工具與個人 Skill 目錄。

2. doctor 全綠就能交付嗎？

不能。不同 channel 的檢查深度不同；Web、YouTube、X、Reddit 都需要另跑固定內容題庫，證明實際輸出與來源一致。

3. 用小帳 Cookie 就安全嗎？

只會縮小損害，不會自動合規。還要隔離主瀏覽器資料、避免憑據進入模型與 log，並先確認平台對該自動化情境的許可。

4. 可以讓 Agent 自動從 Chrome 抓 Cookie 嗎？

不要在含有主帳號資料的環境做。部分上游工具具備瀏覽器 Cookie 掃描或 fallback；可靠邊界是獨立 OS 使用者／VM 與檔案系統拒讀，不是口頭要求。

5. --dry-run 會列出每一個改動嗎？

它提供預覽，但不應當成完整 transaction receipt。套件解析與上游安裝仍可能變動，所以要固定版本、記錄依賴清單並在隔離環境 diff。

6. 為什麼 YouTube 也不能只看 doctor？

因為版本與 runtime 可執行，不代表指定影片真的有可取得字幕。要用你有權處理的固定影片，驗收影片 ID、語言與非空字幕。

7. agent-reach uninstall 之後還要做什麼？

還要核對外部工具、MCP、上游憑據、瀏覽器擴充功能與平台 session。卸載器不會替你判斷所有既有工具該不該刪。

8. 什麼情況下值得採用 Agent-Reach？

當固定題庫證明多來源路由真的省下維護工作，而且憑據與退出邊界都能被驗證時。若受控 API 已涵蓋需求，少一層供應鏈通常更容易治理。

給新手的 5 個重點

1. 星數代表關注度，不代表通過安全審查。
2. 固定 commit；不要把浮動 main 當成可重現版本。
3. doctor 是線索，固定題庫才是能力證據。
4. 不要讓主帳號 Cookie 出現在 prompt、參數、log 或 Agent 可讀的瀏覽器目錄。
5. 通過與否以卸載後仍能說清楚每個殘留物為準。