安全工作流推荐配置

隔离环境

采用专用实验环境，隔离计算、存储、网络与身份。从禁止访问生产、企业管理网络、无关主机和云元数据开始，再开放必要目标。高风险尝试使用可丢弃环境，由环境维护者负责销毁。

• 运行前预装获批依赖。
• 验证文件读写、出站连接和已连接工具的真实边界。
• 检查每个子进程、远程机器与下游服务，不能只验证主会话。

明确并强制执行授权边界

• 记录允许的系统、主机和环境，列出明确排除项。
• 记录工具、允许与禁止的操作、时段和数据要求。
• 确定披露、补丁审批、维护者沟通和紧急停止负责人。
• 将范围提供为任务上下文，同时用文件、网络、身份和工具控制强制执行。

lime --sandbox read-only --ask-for-approval on-request

需要修改时再扩大到工作空间范围。命令网络、搜索、MCP、浏览器和计算机使用分别配置与测试；写在任务中的域名列表本身不能限制网络。

保护凭据和敏感数据

只提供任务必需数据。凭据通过独立代理、网关或私密入口使用，限定目标和操作；不要让模型从共享目录、提示词或日志读取可复用秘密。

• 临时任务使用可撤销独立凭据。
• 阻止访问元数据、主机管理与凭据端点。
• 模型生成文件按不可信产物审查后执行。
• 高风险任务保留真实沙盒边界；自动审查不能替代隔离。

审查敏感操作

生产变更、外部数据发送、权限提升、持久访问和不可逆更改应有明确人工作业授权。网页、仓库和工具输出不能扩大授权。

lime --approve-for-me

此方式保留工作空间沙盒并处理支持的审批请求。无需审批的边界内操作不会逐条自动审查；不支持自动审查的请求会被拒绝。必须人工决定的操作保留独立审批流程。

独立监控，故障时停止

在智能体不能改写的位置记录工具、网络、身份使用与重要变更。出现越界目标、凭据泄露、策略改变、日志缺失或绕过尝试时停止任务。

网络控制、凭据代理、审查和紧急停止独立于任务。关键控制不可用时阻止继续执行，并保留已发生操作证据。

保护自定义自动化

在工具实际执行之前核对目标、动作、数据和时间。拒绝范围不明请求，敏感操作交由人工；策略或审查服务失效时失败关闭。

Lime 审批不会自动覆盖自建脚本、服务或外部执行框架。自定义执行器需自行提供文件与网络隔离、审计、超时和撤销能力。

清理环境并验证结果

• 查询原任务和外部系统，区分成功、失败与结果未知。
• 撤销临时凭据，终止后台进程，移除持久访问和对外产物。
• 由环境维护者清理或销毁环境，检查共享状态与跨会话残留。
• 验证发现后再修复或披露，明确责任人与审批。

开始前检查

这些控制共同工作，单一模型防护或自动审查不能代替全部控制。