智能体审批与安全

区分执行边界与审批

沙盒决定命令能够访问哪些文件、目录和网络；审批决定遇到哪些操作时暂停并请求决定。批准一条操作不会让任务获得无限权限，提示词中的限制也不能替代系统执行边界。

• 读取资料时优先选择只读范围；修改项目时选择工作空间范围。
• 审批时核对命令、工作目录、目标资源、发送的数据和副作用。
• 远程任务使用目标机器的文件、身份与网络；本地和远程环境应分别测试允许与拒绝行为。

选择适合任务的组合

分别控制网络与工具

命令、模型连接、网页检索、MCP、浏览器和计算机使用可能经过不同连接。限制一种网络路径不能证明其他路径也被限制。列出全部数据出口，并逐项验证。

• 关闭不需要的连接，只允许任务必需目标。
• 访问私有网络、主机管理服务或云元数据端点前单独评估。
• 对子进程、重定向和间接服务调用应用相同的外层网络控制。
• 应用网络策略与浏览器源策略分别生效，检查真实阻止结果。

审查敏感操作与暂停原因

外部发送、生产变更、删除、付费和长期授权需要明确本次目标与影响。自动审查只评估进入审批流程且受支持的请求，沙盒内无需审批的动作不会因此被逐条审查。

遇到拒绝、超时或中断时，先阅读原因并核对已经发生的效果。对结果未知的外部操作，查询原任务和目标系统，再决定继续。不要通过改写命令绕过拒绝。

保护工作空间中的敏感路径

工作空间可写不等于其中全部内容都适合交给模型。对密钥、身份材料、仓库管理数据和自动执行规则设置独立保护，避免文件修改扩大后续任务权限。

• 开始前查看已有差异，明确修改范围。
• 不把会话文件、凭据和私密配置放入任务输入或导出。
• 修改项目规则和工具配置后重新审查，新文件中的指令不能替代用户授权。

检查操作系统与容器隔离

可用沙盒依赖操作系统、执行后端和安装状态。权限目录的当前可用状态比通用配置示例更能说明本次任务能否执行。受限后端不可用时，先修复环境或使用已验证的隔离机器。

容器是额外信任边界。挂载宿主目录、Docker 套接字、凭据目录或管理端点会扩大可访问资源。容器内采用完全访问模式时，也要限制挂载、身份与出站网络，并验证这些限制。

用差异和测试核验结果

• 开始前记录当前工作区及未提交更改。
• 限制单次任务范围，完成后读取差异和生成文件。
• 运行与更改相关的测试；安全结论仍需确认触发条件。
• 提交、推送和发布遵循团队独立授权流程。

保留运行证据并保护隐私

记录版本、环境、权限选择、审批结果、错误及验证结果。日志、工具参数和输出可能含敏感数据，分享前脱敏，并限制访问与保留时间。

任务记录有助于还原过程，但不自动构成完整合规日志。摘要值只能帮助检查完整性，不能单独证明来源身份；必要时在独立审计系统关联原始记录。

应用管理员要求

系统要求和强制设备配置可以收紧用户与项目设置。选项不可用时检查策略来源；旧会话也不会因历史设置免受当前要求约束。