【2026 最新】AI Setup Card 怎麼做？安全盤點 Agent、Skills、MCP 與每月成本

你可能已經同時用著 ChatGPT、Claude、Codex、幾個 Skills 和 MCP，卻只能回答「我裝了很多工具」。真正難答的是：哪個 Agent 會碰到哪些資料？哪條流程需要網路或 OAuth？每月到底花多少？這篇要帶你做一張AI Setup Card，把散落的工具整理成可檢查、可比較、又能安全分享的工作流卡。

本文專為已經在使用 AI 工具、但不想交出原始設定或私密提示詞的初學者寫。你不需要為了盤點而安裝新軟體、連接陌生 MCP，或授權第三方讀取 GitHub；只要一份本機表格、現有產品顯示的名稱與帳單，就能完成 private、team、public 三個版本。

最後你會得到一個可重做的方法：先只讀盤點、再遮蔽、接著畫出一條真實工作流、核對成本，逐字預覽後才分享。它不是一張炫耀軟體數量的海報，也不能代替完整資安稽核；它的作用是讓「我怎麼用 AI」第一次變得可見、可追問。

先說結論：AI Setup Card 不是工具清單

先記住整篇的錨點：

AI Setup Card ＝ 工作流地圖＋權限邊界＋每月成本＋分享層級。

少一格，就很容易把「裝了什麼」誤當成「它如何工作」

工具清單只會寫「Codex、Claude Code、Notion」。Setup Card 則會說：研究任務先由誰接收、哪個 Skill 套用規則、何時呼叫外部工具、資料去哪裡、最後由誰核准，以及這條路每月要付哪些固定費與用量費。就像家庭電箱標示每條迴路，不只是列出家裡有幾台電器。

為什麼現在需要 AI Setup Card？

2026 年 9 月 19 日擷取時，MySetup 的 Show HN 討論有 230 points、133 則留言。熱門回覆一方面想看別人的配置，另一方面拒絕為此連接陌生 MCP 或 GitHub；另有讀者希望卡片顯示約略月費。這只是當日社群需求快照，不是產品安全背書，但它點出一個真問題：大家想學工作流，不想把私密設定也交出去。

因此這篇採用 manual-first、local-first、approval-last：先手動建立最小清冊，盡量在本機處理，最後才由人核准公開版。MySetup 的連接頁可以當成卡片產品的例子；本文的方法不要求註冊、OAuth 或遠端 MCP。

AI Setup Card 安全盤點：7 步完成第一版

Step 0：先定快照日與讀者，不要先接工具

在空白文件頂端先寫 snapshot_date: 2026-09-19，再選 private、team 或 public。同一套配置在不同讀者面前，細節邊界完全不同。這一步不需要掃描磁碟，也不需要新增整合；如果你還在決定 Agent 最小組合，可先讀AI Coding Agent 最小配置，避免把「可能會用」也塞進清冊。

Step 1：只記六組 metadata，不貼 raw config

Metadata 是「關於設定的標籤」，不是設定全文。建立六個區塊，每格只填工作上真的看得到的資訊：

1. Agent／介面：產品名稱、用途、狀態、執行類型與登入方式；模型只記介面明示的名稱與快照日。
2. Skills／規則：來源、user／project 範圍、啟用狀態、手動或隱式觸發、是否含 script／hook／預先允許的工具；不要貼私人 prompt 全文。
3. MCP／外部工具：來源、local 或 remote、驗證類型、scope 名稱、啟用工具、approval 模式、能碰到的資料與網路。
4. 權限邊界：可讀路徑、可寫範圍、子程序網路、approval／sandbox 狀態、額外 writable root 與誰能放行。
5. 典型任務：挑三件常做的事，記輸入、處理、輸出與人工核准點。
6. 成本證據：最近一個完整月份的收據、管理台報表或匯出檔，以及幣別。

Codex 可用既有的 codex mcp list 查看已配置的伺服器名稱與狀態；OpenAI 的 Codex MCP 文件說明，它同時支援本機 STDIO 與遠端 HTTP，設定可能位於使用者或受信任專案層。Claude Code 的目錄與設定文件則列出 project、user、managed 等範圍。重點不是把檔案印出來，而是把「名稱、範圍、用途、登入狀態」手動抄進卡片。

特別不要用 cat ~/.codex/config.toml、cat ~/.claude.json 之類的原始輸出當分享素材。設定、session 或工具輸出可能混有路徑、環境變數、OAuth 狀態與曾被工具讀到的敏感內容。若想進一步檢查 MCP 曝險，再用Geiger 設定曝險盤點做第二層審計；Setup Card 本身只負責建立可見清冊。

MCP 顯示的 readOnlyHint 也只能記成「server 宣告唯讀」，不能直接寫成「已驗證唯讀」。MCP 官方的工具註解說明明確把這些欄位定位為 hint，而非執行層強制。對未知的本機 server，先靜態查看套件來源與完整啟動命令，不要為了做卡片而啟動它；2026-07-28 的MCP 安全指引也要求一鍵安裝展示完整命令並取得明確同意。

Step 2：跑 redaction checklist，連「可反推身分」都拿掉

Redaction（遮蔽）不是把整段塗模糊，而是保留讀者需要的結構，刪掉不該知道的值。逐項搜尋並替換：

• API key、access／refresh token、cookie、SSH key、webhook secret；
• 私人 repo、客戶、專案、內部主機與資料庫名稱；
• 真實姓名、Email、帳號 ID、付款與合約識別碼；
• 含使用者名稱的絕對路徑、私人 prompt、session／transcript 原文；
• 能與其他公開資訊拼回身分的穩定代號、精確時間與小眾客戶描述。

用 [PRIVATE_REPO]、[CLIENT_A]、[LOCAL_PATH] 保留關係即可。若來源是截圖，請輸出一份已真正覆寫像素的新檔，再放大檢查；不要只靠半透明筆刷或可移除的註解圖層。遮完後，換一個人從「攻擊者視角」問：僅憑這張卡，能不能猜出公司、客戶、帳號或內網入口？

Step 3：月成本只認帳單，不用印象估價

把成本統一到同一月份與同一幣別，公式很簡單：

月成本 ＝ 固定訂閱＋API 用量＋MCP／外掛／主機－折抵與報銷。

每一項都附 evidence 與 billing_period。OpenAI API 組織可從官方 Costs API取得成本資料；Anthropic Console 也提供用量與成本報表。個人訂閱就以實際收據為準。看不到的項目標成 unknown，不要拿 token 數乘一個可能已變動的牌價硬湊。想把多人 API 花費分到專案，可接著讀LLM API 成本拆帳教學。

Public 版不必公開精確發票，可把自己的實付總額轉成區間，例如 US$25–50／月；這是你卡片的個人區間，不是廠商價格。Private 版則保留原幣、匯率日、實付與證據位置，方便下個月比較。

Step 4：追一條真任務，畫出工具如何接力

不要畫理想流程，挑上個月真的做過的一件低敏感任務，例如「把公開研究整理成文章草稿」。逐站寫下：

1. 觸發：你手動貼入一個公開 URL。
2. 規則：Agent 讀取研究 Skill，只決定查證順序。
3. 工具：瀏覽器只讀官方頁；沒有新增 MCP 或 OAuth。
4. 處理：模型產生草稿，sandbox 只允許寫到指定工作目錄。
5. 出口：先生成 preview，由人逐字核准後才貼到發布系統。

這條 trace 會暴露清單看不到的斷點：同一個 MCP 可能只有某步會被叫到；同一個 Agent 也可能在研究時可上網、發布時才有寫入權。OpenAI 的 Codex sandbox 文件把 sandbox 與 approval 分成兩個控制面；Claude Code 也有分層的權限規則。卡片要記「有效邊界」，不是只寫一個模糊的「安全模式」。

Step 5：用這個 prompt 只整理已遮蔽的工作表

先自己完成 Step 1–3，再把已遮蔽文字放進下列 prompt。它刻意禁止 Agent 自行探索環境：

你只可分析我貼在 <inventory> 內的已遮蔽資料。
不得讀取檔案、掃描目錄、呼叫 MCP、上網、要求 OAuth、上傳或發布。

請輸出：
1. 一條「觸發 → Agent → Skill → 工具／MCP → 產出 → 人工核准」工作流；
2. 固定訂閱＋API＋外掛／主機－折抵的月成本，缺證據就標 unknown；
3. private、team、public 三版卡片；
4. 仍可能洩露 token、repo／客戶、路徑、prompt、帳號或可反推身分資訊的位置；
5. 一個本月可驗證的最小改善實驗。

不要補猜缺漏，不要顯示 raw config。最後先輸出完整 preview，
停下來等待我明確核准；未核准前不要分享。

<inventory>
[在這裡貼上已遮蔽工作表]
</inventory>

「不要讀檔」不是裝飾語，而是把這次任務的權限縮到一段已審查文字。若宿主仍允許工具自動呼叫，請在介面關閉或拒絕工具；文字承諾不能凌駕實際權限設定。想理解 Skill 為何應該版本化、測試與淘汰，可搭配Agent Skill 六步生命週期。

Step 6：輸出 private、team、public 三張卡

• Private：保留實際工具、內部 owner、精確成本與證據位置，但仍不保存 token。
• Team：保留功能、責任人、資料分類與權限邊界；repo、客戶、私人 prompt 改成代號。
• Public：只留通用工具類型、公開名稱、成本區間與可學的工作流；拿掉內部路徑、帳號和可連結身分的細節。

三版不是同一份文件切換「公開」按鈕，而是三個獨立輸出。分享前做逐字 preview，檢查連結目的地、圖片 metadata、文件歷史與留言，再由一個明確的人按下核准。若工具要求 GitHub OAuth，先到 GitHub 的授權應用程式頁查看開發者、權限與是否仍需要。截至 2026 年 9 月 19 日，GitHub 的 repo scope涵蓋 public／private repository 的廣泛存取，不應只看一個「連接」按鈕。

Step 7：每月只看 diff，不要整張重做

把這個月與上月並排，只回答五件事：added、removed、permission_changed、cost_delta、unused_candidate。新增 remote MCP 或 OAuth scope、sandbox 變寬、成本跳升，都應觸發人工複查；連續兩個月沒有任務引用的付費工具，則進入「停用一個月」實驗，而不是因為已付款就永久保留。

最小改善實驗一次只改一件事，例如把某條流程從「自動發布」改成「產生 preview 後人工核准」，下月觀察是否仍完成任務、是否多出明確核准紀錄。若你要把這種最小權限做成可反駁測試，可參考Security Audit Skill 的測例思路；但不要把一張卡誤寫成已通過滲透測試。

6 個常見失敗：卡片很漂亮，邊界仍然不清楚

1. 為盤點而新增連接：清冊的目的不是創造新的信任關係；先用手動輸入。
2. 貼 raw config：格式看似專業，卻可能一起帶出 token、路徑、環境變數與內部端點。
3. 只列工具、不追任務：你看不出哪一步真的會送資料、寫檔或發布。
4. 把標價當實付：方案、折抵、API 用量與匯率不同；以完整月份證據為準。
5. 把 private 當已遮蔽：可見人數變少，不會自動移除文件裡的秘密。
6. 讓 Agent 自動公開：生成、預覽、核准、分享必須是四個可停下的動作。

AI Setup Card FAQ

1. AI Setup Card 能自動找齊所有工具嗎？

不能把一次自動掃描當成完整證明。有些項目在 user 層，有些在 project 或 managed 層；還有手動流程與帳單不在設定檔裡。以人維護的清冊為主，自動輸出只當待核對線索。

2. 一定要安裝 MCP 才能做嗎？

不用。這是一套盤點方法，不是一個連接協定。手動填名稱、用途、資料範圍和成本，就能完成第一版；只有原本已在用的 MCP 才需要被記錄。

3. 路徑和帳號打模糊就安全了嗎？

不一定。模糊仍可能被反推或還原；文件歷史、EXIF、連結與其他欄位也可能洩露。公開版應移除原值、輸出新檔，再由沒有背景資訊的人重看一次。

4. 模型名稱要寫到多細？

寫介面明示且與工作流有關的粒度。附快照日，不猜背後路由或隱藏版本。若模型可自動切換，就寫「自動／未固定」；卡片是當時狀態，不是永久規格。

5. Local-first 是否代表資料絕不離開電腦？

不代表。本機整理能減少額外上傳，但既有 Agent、API 或 remote MCP 仍可能依設定處理你選送的內容。要逐站畫資料流，不能只看程式從哪裡啟動。

6. 找不到某項成本怎麼辦？

標成 unknown。同時寫下缺的是收據、管理台權限、共用帳號分攤，還是跨月帳期。未知是下一步，不是可以任意估價的空格。

7. 做卡片一定要授權 GitHub 嗎？

不用。本文的 Setup Card 可以完全靠手動、已遮蔽的 metadata 完成。若某個第三方產品另要求 OAuth，那是該產品的連接選擇，不是這套方法的必要步驟。

8. 多久更新一次最好？

每月一次，再加事件觸發。新增／移除工具、權限或 OAuth scope 改變、費用異常、開始處理新資料類型時，不必等月底；立即更新 diff 並重做公開前 preview。

給新手的 7 個重點

1. 卡片記的是工作流，不是安裝數量。
2. 盤點不應新增 MCP、OAuth 或上傳動作。
3. 只抄 metadata，不貼 raw config 與 transcript。
4. 成本用完整月份的實際證據，未知就明寫。
5. Private、team、public 是三個獨立輸出。
6. 生成、預覽、核准、分享四步不可合併。
7. 下個月只看 diff，挑一個最小改善實驗。