沙箱与审批策略

最小权限运行

沙箱限制代理能读取、写入和执行的范围。只读适合调查和审查，工作区写入适合大多数本地开发。完全访问会显著扩大影响面，只应在隔离且可丢弃的环境中使用。

审批不是形式流程。它应出现在权限提升、网络访问、生产写入、安装软件和可能破坏数据的操作之前。审批时要看具体命令和目标，不要只看代理摘要。

• 默认从只读或工作区写入开始。
• 把凭据和生产系统放在沙箱之外。
• 只批准当前任务必需的最小动作。
• 拒绝含有模糊路径、递归删除或未知下载的命令。
• 对可重复自动化使用隔离 runner 和短期凭据。

把风险与验证绑定

允许写入并不等于允许发布。代码改动、外部消息、PR 合并和生产部署是不同权限，应分别控制。

高风险任务应准备备份、回滚和审计记录。代理执行完成后，还要验证实际系统状态，而不是只相信命令返回成功。