一句话定义：SSH Agent 转发（SSH Agent Forwarding）是指你登录远程主机时，允许远程会话“借用”你本机 ssh-agent 中已解锁的私钥来完成签名认证——私钥本身不离开本机，但“用这把钥匙签一次字”的能力被临时借了出去。
机制：一条打回本机的电话线
登录时系统会启动一个叫 ssh-agent 的小后台程序，它把私钥解密后放在内存里。之后的 ssh 客户端并不直接读私钥文件，而是通过一个本机 socket（路径记在环境变量 SSH_AUTH_SOCK 里）对 agent 说：“帮我签这段随机数。”签名结果送回，认证完成。
开启转发（命令行 ssh -A，或配置里 ForwardAgent yes）后，远程 sshd 会在服务器上另建一个 socket，并把远程会话的 SSH_AUTH_SOCK 指向它。远端任何程序连上这个 socket，都能请你本机的 agent 签名。
打个比方：公章锁在公司保险柜里，你人在客户现场，于是拉了一条专线电话回去。对方要盖章就打电话，你核对后盖下。公章始终没离身——但电话线没拔之前，现场任何人都能拨这个号。
凭证暴露的边界
“私钥没泄露”不等于“安全”。真正的风险窗口大致是三个因素的乘积：会话存活时间 × 能访问那个远端 socket 的人 × 你已加载的密钥能登录的所有主机。
远端 root、同机其他用户（取决于 socket 权限）、容器里的进程、甚至遗留在 tmux 或 screen 会话里的环境变量，都可能借你的身份横向跳转。你借出去的不是一把钥匙，而是一段时间内“以你的名义签字”的资格。
AI 场景里的样子
桌面 AI 应用为了让智能体在远程开发机上 git push、拉私有仓库、再 ssh 到内网机器，常常复用本机 agent 或直接建立带转发的会话。智能体拿不到私钥，但会话期间它可以无限次请求签名——这正是“替你在服务器上签名”的真实含义：它有签字权，没有印章。
| 做法 | 私钥在哪 | 谁能用你的身份 | 适用 |
|---|---|---|---|
| 把私钥复制到远端 | 远端磁盘 | 拿到文件的所有人，长期有效 | 不推荐 |
| Agent 转发 | 只在本机内存 | 会话期内能访问远端 socket 的人 | 短时跳板操作 |
| ProxyJump 跳板 | 只在本机 | 只有你本机的 ssh 进程 | 多级跳转首选 |
| 硬件密钥（FIDO2 等） | 密钥硬件内 | 需物理触碰确认 | 高敏感环境 |
与端口转发（Port Forwarding）的区别也值得记一句：端口转发转的是网络流量，agent 转发转的是身份能力。
怎样按需关闭与收窄
- 默认本来就是关闭的（
ForwardAgent默认no），只在~/.ssh/config里对特定 Host 打开，或临时用ssh -A。 - 能用
ssh -J跳板就别开转发：ProxyJump 让流量经过中转机，不需要把签名能力放到远端。 - 用
ssh-add -c让每次签名都弹确认，ssh-add -t 1h设有效期，ssh-add -D清空已加载密钥。 - 每类主机用独立密钥，并在服务器的
authorized_keys里用from=、command=收窄用途。 - 桌面 AI 应用一侧：把转发做成显式开关、会话结束即回收 socket、不要把 socket 挂进容器或共享 shell。
具体参数与默认行为以 OpenSSH 和你所用客户端的官方文档为准。