安全模型与 Project Trust

Pi 的本地信任边界

Pi 是本地编码代理，拥有启动它的用户账号权限。Project Trust 会阻止未经批准的项目设置、Extensions、Skills、Prompts 和 Themes 自动加载，但不会限制模型通过工具执行什么。

项目文件、构建输出和文档都可能包含提示注入。信任仓库资源也不代表其中所有内容安全。

• 第一次进入项目时审查 .pi 与 .agents 资源。
• 非交互模式明确设置 --approve 或 --no-approve。
• 默认 defaultProjectTrust 使用 ask 或 never。
• 高风险仓库在隔离环境运行。
• 外部写入保留人工批准。

权限来自操作系统

Pi 没有内置沙箱是有意设计。部分进程内限制容易给出错误安全感，因为 Bash、文件系统、包管理器和凭据仍属于宿主环境。

真正隔离使用容器、虚拟机、微虚拟机或策略沙箱。