10 · 权限模式与安全沙箱

如果你只读一章，读这一章

WorkBuddy 能帮你读写文件、整理目录、生成文档，也能调用脚本或外部程序。这是它的价值所在，也是它唯一能真正伤到你的地方。

这一章讲怎么在不牺牲效率的前提下把边界划清楚。

两档权限

WorkBuddy 提供「默认权限」和「完全访问权限」两种模式。

日常建议使用默认权限：让 AI 在工作空间内高效执行任务，但遇到高风险操作时先停下来向你确认。

你可以把它理解成一层安全护栏——日常处理任务时不挡路，真正要越过边界或执行危险动作时，要求你再看一眼、点一次确认。

在哪切换

权限入口在输入框底部，是一个常驻的权限状态按钮，默认显示为「默认权限」。点击弹出面板，通过「允许完全访问」开关切换。

权限状态在输入框上始终可见，你在发起任务前可以随时确认当前处于哪一档。

什么是工作空间

工作空间是当前任务主要读取和保存文件的文件夹。新建任务时选的目录，或 WorkBuddy 自动创建的任务目录，都是这次任务的工作空间。

建议把本次任务需要处理的文件放进同一个工作空间，例如：

• 周报整理
• 发票归档
• 客户资料清洗
• 图片批量处理

这样 WorkBuddy 处理文件更顺畅，也能让默认权限更准确地判断哪些操作属于本次任务范围。

沙箱不是备份

处理重要资料前，优先为任务新建一个独立文件夹，只把需要处理的副本放进去。

默认权限可以减少误操作风险，但不能替代备份。这是两回事：护栏防的是「它做了不该做的事」，备份防的是「它做了该做的事但做错了」。

默认权限会保护什么

在默认权限下，重点保护的是重要资产和高风险动作。开启删除保护后，普通文件写入通常可以直接继续；但一旦涉及敏感路径、重要删除、脚本命令或网络等风险操作，仍会停下来让你确认。

通常需要确认的：

操作类型	说明
写入受保护或敏感路径	避免覆盖密钥、凭据或安全配置
删除受保护文件、重要目录或批量删除	避免误删难以恢复的资料；普通单文件删除通常由删除保护兜底
执行脚本、命令或外部程序	可能修改文件、访问网络或影响系统环境
网络访问或敏感能力	命中安全中心规则或高风险能力时会要求确认

如果你取消确认，WorkBuddy 不会执行这一步。 你可以继续和它对话，让它换一种更安全的处理方式——比如先列出将要删除的文件清单，或把结果保存到工作空间内。

沙箱还额外提供几层保护：

• 命令会优先在沙箱约束下执行；如果被拦截，再按风险决定是否需要你确认
• 删除保护会尽量通过安全删除或回收站降低误删风险
• 文件备份会在修改已有文件前保存备份，新建文件不重复备份

为什么它比「让 AI 先分析一遍脚本」更稳

一个常见的替代方案是：让 AI 先看一段命令或脚本，判断它看起来是否危险。

这个做法的问题在于，实际执行时风险可能来自很多地方：

• 脚本内部又调用了其它脚本或工具
• 文件路径由运行时动态生成，开始时看不出来
• 一个普通命令可能因为参数不同而删除、覆盖或移动大量文件
• 外部程序的真实行为不一定能只靠脚本文本判断

默认权限的保护点不停留在「看起来像什么」，而是在 WorkBuddy 准备进行高风险操作时，再要求确认一次。即使普通文件写入可以顺畅继续，只要下一步触发确认条件，决定权仍然回到你手上。

确认弹窗该怎么读

当 WorkBuddy 需要确认时，重点看三件事：

1. 操作内容——是写文件、删文件，还是执行脚本
2. 影响范围——目标路径是否在本次任务的工作空间内，是否会影响桌面、下载目录、项目源码或其它重要目录
3. 执行理由——这一步是否确实是完成任务所必需的

不确定就取消

取消不是失败。取消之后，你可以让它改成：

• 先展示将要修改或删除的文件清单
• 先生成预览或备份
• 把输出保存到工作空间内
• 把脚本内容解释清楚后再执行

这几句话的成本是十几秒，比事后找回文件便宜太多。

完全访问权限

「完全访问权限」会关闭上述二次确认。开启后，执行高风险操作时不再逐步请求确认，包括写入文件、删除文件、执行脚本和调用外部程序。

生效范围是当前客户端的所有任务

这是最容易被误解的一点：它不是只对当前任务生效。

开启后，当前客户端内所有已存在任务和后续新建任务统一生效；在对话过程中关闭后，所有任务恢复默认确认流程。该设置不跨设备生效，每台客户端独立管理。

切换时会弹出「确认允许完全访问？」，明确列出将放开的能力（文件操作、终端命令、访问互联网），并提示所有任务将减少确认步骤、直接操作你的电脑。先确认当前任务和文件都可恢复，再勾选风险确认。

完全放开不等于更安全

它不会自动帮你判断风险，只是把确认环节交给 AI 自动通过。

建议只在完全可信的任务、隔离环境或临时测试目录中使用——Docker、虚拟机、一次性工作目录。

不建议开启的场景：

• 正在处理生产资料、客户资料、财务资料或唯一副本
• 工作目录靠近桌面、下载目录、个人文档根目录或项目仓库根目录
• 任务会批量删除、批量重命名或覆盖文件
• 任务需要运行你不了解的脚本或第三方工具
• 当前电脑里有重要文件，且没有备份

两档对比

对比项	「默认权限」	「完全访问权限」
文件访问范围	沙箱约束内，越界需请求允许	计算机上任意位置
删除 / 修改文件	需逐次确认	多数直接执行
终端命令	系统级命令需确认	可直接运行命令、安装软件、改系统设置
访问互联网	受控，敏感动作需确认	可访问网站、发送数据、使用已启用连接器
打断频率	较高	很低
生效范围	当前任务	全局，所有任务统一生效
风险等级	低	高

按场景选：

场景	建议
日常文档生成、表格处理、资料整理	默认权限
第一次处理某类任务，或目标还不明确	默认权限，并优先让它先列计划
需要批量删除、移动或覆盖文件	默认权限，确认前仔细检查路径和清单
在隔离目录里反复运行可信脚本	可以短时间开完全放开
在 Docker、虚拟机或临时测试环境中做实验	可以按需开启
生产环境、重要设备、唯一文件副本	不建议开启

推荐使用方式

1. 先选好工作空间——为每个任务准备独立文件夹
2. 重要文件先备份——尤其是批量处理、删除、重命名任务
3. 默认使用默认权限——让它在关键风险点向你确认
4. 看懂确认弹窗再继续——重点检查操作类型、路径和影响范围
5. 不确定就取消——让它先解释、预览或生成清单
6. 完全放开用完即关——只在可信、隔离、可恢复的环境中短时间使用

默认权限的目标不是让你频繁确认

而是在最容易造成损失的地方多一道确认。多数日常任务可以继续自动完成；真正可能修改电脑重要状态的动作，才由你最后把关。

安全中心

安全中心统一管理与安全、运行时相关的配置。除了两档权限模式，你还可以在这里进一步收紧 Agent 的行为边界。

程序黑名单

在命令安全中设置程序黑名单，被列入的程序将无法被 Agent 及其调用的子程序启动。

• 适合封禁你不希望 AI 触碰的程序
• 命中后相关调用会被直接阻止，不会再向你询问

和确认弹窗的区别是：弹窗是「问你一下」，黑名单是「根本不问，直接拒」。适合放那些你确定永远不该被碰的东西。

文件读写规则

在强制审批黑名单中，可以为敏感目录设置拦截规则：

规则类型	命中后的行为
写	写入文件前弹窗询问
读写	读取和写入前都会弹窗询问

三条细节：

• 只访问文件名、不读取内容的工具（如 find）不会触发弹窗
• 读取文件内容的工具（如 grep）同样受读规则管控
• 默认规则已包含对 ssh 等敏感数据目录的读保护

值得加进去的目录

• 密码管理器的数据目录
• .env、密钥、证书所在的目录
• 财务、法务、HR 相关的资料目录
• 任何你不希望内容进入模型上下文的地方

自动备份

在沙箱安全中开启自动备份后，Agent 修改已有文件前会自动生成一份快照；新建文件不重复备份。开启后，文件修改可直接进行，不再逐个弹窗询问。

机制细节：

• 同一个文件在一次对话轮次内，只在首次修改前生成快照
• 可点击「打开备份目录」查看当前会话的备份文件
• 所有会话共享备份空间，默认上限 3000 MB；空间不足时按时间顺序清理最早的备份

保持开启，但别当成备份方案

自动备份默认开启，建议保持。它不替代你自己的重要文件备份，仅用于在 Agent 改错时快速回退。

3000 MB 的上限和「按时间清理最早的」这两条意味着：跑几天大任务之后，早期的快照可能已经没了。

恶意域名拦截

WorkBuddy 内置恶意域名库。在沙箱内发起网络访问（脚本、命令行等）或抓取网页前，会先检查目标域名，命中恶意域名即拒绝访问。

• 判断全部在本地完成，每次访问不会向后台发起请求
• 域名库每天更新，更新失败时继续使用上一版本
• 覆盖沙箱内的网络访问与网页抓取；不覆盖插件内部的网络访问与搜索服务

最后一条是边界所在：装了第三方插件，它自己发起的网络请求不受这道拦截保护。这也是 技能安全审查 重要的另一个理由。

常见问题

Q：默认权限会不会让模型什么都做不了？

不会。沙箱内的常规操作照常执行，只有越界和高危操作才需要确认。日常写作、分析、生成文档等任务基本不受影响。

Q：完全访问权限只对当前这个任务生效吗？

不是。 它是全局开关，开启后所有任务都会切到完全访问，包括之后新建的任务。

Q：开启完全访问后还能关回去吗？

可以。回到输入框底部的权限面板，关闭「允许完全访问」开关即可恢复默认权限。

Q：默认权限下模型每一步都要问我吗？

不是每一步。只有超出沙箱范围或属于高危类型（删除、修改、系统命令、对外发送等）的操作才会询问。

Q：整理桌面后好像有文件丢了？

这是 Windows 上的一个已知现象。处理办法：先检查目标整理目录和回收站；执行前应该先备份桌面重要文件。保留生成的脚本和执行结果截图便于排查。

更根本的建议是：不要让它直接整理桌面。 桌面是个混杂目录，把要整理的东西挑出来放进独立文件夹再动手。

下一步

11 Git 集成与并行任务——面向开发者的隔离能力。