AgentBridge Studio：遠端 Codex／Claude Code 額度共用主張的技術、安全與授權查核
Threads 貼文把 AgentBridge Studio 放在「透過 Tailscale+SSH 與朋友共用 Codex 或 Claude Code 額度」脈絡下。第一方資料顯示，這個專案確實是 macOS 桌面端、透過 SSH 連到遠端 Codex／Claude Code Runtime，並把本機檔案、Shell、Computer Use、瀏覽器工具轉回使用者 Mac 執行；但它不是離線模型或免費模型，也不能把遠端協作自動解讀成平台允許的帳號或額度共享。
重點結論：AgentBridge Studio支持「遠端CLI Runtime＋本機Mac工具」的技術定位，不能自動當成安全或符合供應商條款的朋友共用額度方案。Runtime、登入態及模型服務連線放在選定的SSH主機，工具操作回到Mac；模型推理仍可由OpenAI／Anthropic雲端服務完成，不是SSH主機自帶離線模型。使用前要分開檢查帳號授權、遠端主機信任、Mac系統權限、工具批准、資料流與使用者隔離。
收錄批次日期為2026-10-06（Asia/Taipei）；社群來源為Threads貼文，原文問『有什麼比透過 tailscale+ssh 去跟朋友共用 codex 或 claude code 額度更棒的事？』並連到 GitHub 專案 iancheng64-cmd/AgentBridgeStudio。公開頁面顯示 2 則回覆，但本次保存內容沒有可讀的直接回覆；頁面下方相關串文已排除，不能當作這則貼文的回覆證據。
GitHub 第一方資料顯示，儲存庫建立於 2026-10-06，查核時 head commit 為 26dd816b4a663784a3bc9b43b285bb5fa83a1b70，最近三個 commit 均為 unsigned。GitHub API 顯示授權為 MIT，且 repo 內有 LICENSE；因此可說原始碼以 MIT 授權發布，但這不等於內建第三方元件、Codex、Claude Code、瀏覽器、模型服務或使用者帳號也一併授權給他人共用。release v0.4.7 名稱明確標示 Apple Silicon、ad-hoc signed、not notarized；release asset 有約 503MB 的 arm64 DMG、source zip、INSTALL_CHECK、RELEASE_ACCEPTANCE 與 SHA256SUMS。Actions workflow 存在，但 API 查到 workflow runs total_count 為 0；CI 設定不能替代實際通過紀錄。
README 對『self-contained』的邊界寫得比貼文更保守：DMG 內建 Electron／Node runtime、Codex 0.160.0 配對執行器、Computer Use、Playwright Chromium、FFmpeg、MCP gateway 等，但第一次使用仍須填入可連線且已登入的遠端 Runtime，且不包含免費 AI 帳號或離線模型。這表示免費 App 不等於免費模型，工具包裝完整也不等於帳號、額度、SLA 或平台授權完整。README 也說遠端主機需可 SSH 連線；Codex 主機需已安裝並登入 Codex 0.160.0；Claude 主機需有可用 Claude Code CLI 與 Node.js 通訊橋，完成帳號登入或 API provider 設定。Tailscale 在文件裡只是可用的安全連線方式或選用 HTTP 曝光模式之一，並不是多使用者隔離、帳號授權或額度轉售的證明。
技術上，程式碼確實追到 SSH 與反向 loopback。Codex 路徑會用 ssh2 連到遠端主機、驗證 host key fingerprint，啟動遠端 codex app-server，並在本機建立 Mac executor 與 MCP 工具。Claude 路徑也可連到遠端 profile，透過 LoopbackForward 把本機 LocalToolHost 的 127.0.0.1 MCP 端點轉給遠端 Claude Code。LocalToolHost 僅綁 127.0.0.1、使用隨機 bearer token、拒絕帶 Origin 的瀏覽器請求，並限制 JSON body 大小與並發工具呼叫；檔案工具針對選定 allowed root 做 realpath、symlink 與 O_NOFOLLOW 檢查。這些是有意義的安全設計。
但安全邊界仍要拆開看。本機檔案 read/write 工具受工作目錄限制，shell 工具的 cwd 也需在 allowed root 內；可是 shell 本身不等同完整 OS sandbox，程式碼註解也明說 filesystem roots 不限制 native shell 或 GUI 操作。Computer Use 走 macOS Accessibility 與螢幕錄製權限，瀏覽器工具使用獨立 Playwright profile；一旦使用者授權，遠端 Agent 可以經由本機工具讀寫工作目錄、執行命令、操作 GUI 或瀏覽器。『最高權限』模式會把多數批准自動接受；它不會繞過 macOS 系統權限，但會降低 App 內逐次審批的摩擦。這對可信朋友可能方便，對跨帳號或不完全信任的遠端 Runtime 則是明顯風險。
憑證方面，README 與程式碼都試圖避免把雲端模型憑證複製到本機：ChatGPT／Anthropic 登入態留在遠端 Runtime，App設計不把遠端模型登入憑證複製到Mac；Mac仍保存SSH profile與本機聊天歷史，不能宣稱所有對話只在遠端；密碼可用 Electron safeStorage 加密後寫入 profiles.json，檔案權限為 0600。Codex routeServerRequest 會拒絕 ChatGPT auth token refresh 與 attestation 類請求，避免本機接管遠端帳號憑證。這降低了 Mac 端保存模型憑證的風險，但不消除遠端主機擁有模型帳號、對話歷史與額度狀態的事實。若所謂『朋友共用』是讓他人透過你的遠端登入態跑模型，風險核心仍在平台帳號與遠端主機信任，不在 Tailscale 或 SSH 本身。
平台條款查核要區分個人帳號與正式組織使用。OpenAI官方帳號共享政策明示，帳號供建立帳號的個人使用，其他人應建立自己的帳號；本人使用多個裝置是另一回事。SSH不會帶來新的帳號授權，也不會把個人訂閱額度變成可供朋友共用的組織授權。這不等於所有組織管理API金鑰或正式團隊席位都被禁止。
Anthropic對將Claude Code預裝或運行於產品／服務的情境，官方文件明示「除非另有相互同意的協議」：Claude Code 可以被預裝或在客戶平台上運行，但使用者端不得移除或限制官方驗證機制；客戶不得代表終端使用者付費、轉售或中介 Claude usage；每個 end user 必須用自己的 Anthropic API key、Claude subscription plan credentials 或第三方 inference provider credential 驗證。Anthropic 的 Pro／Max 支援文章也說 Claude 與 Claude Code 共用使用量限制；打到上限時應升級、購買/啟用官方額外用量或等待重置。因此，本次不能把『透過 SSH 連到朋友 Runtime』推論為 OpenAI 或 Anthropic 允許帳號共享、額度出租、轉售或規避上限。