10 · 權限模式與安全沙箱

如果你只讀一章，讀這一章

WorkBuddy 能幫你讀寫檔案、整理目錄、生成文件，也能呼叫指令碼或外部程式。這是它的價值所在，也是它唯一能真正傷到你的地方。

這一章講怎麼在不犧牲效率的前提下把邊界劃清楚。

兩檔權限

WorkBuddy 提供「默认权限」和「完全访问权限」兩種模式。

日常建議使用預設權限：讓 AI 在工作空間內高效執行任務，但遇到高風險操作時先停下來向你確認。

你可以把它理解成一層安全護欄——日常處理任務時不擋路，真正要越過邊界或執行危險動作時，要求你再看一眼、點一次確認。

在哪切換

權限入口在輸入框底部，是一個常駐的權限狀態按鈕，預設顯示為「默认权限」。點選彈出面板，通過「允许完全访问」開關切換。

權限狀態在輸入框上始終可見，你在發起任務前可以隨時確認當前處於哪一檔。

什麼是工作空間

工作空間是當前任務主要讀取和儲存檔案的資料夾。新建任務時選的目錄，或 WorkBuddy 自動建立的任務目錄，都是這次任務的工作空間。

建議把本次任務需要處理的檔案放進同一個工作空間，例如：

• 周报整理
• 发票归档
• 客户资料清洗
• 图片批量处理

這樣 WorkBuddy 處理檔案更順暢，也能讓預設權限更準確地判斷哪些操作屬於本次任務範圍。

沙箱不是備份

處理重要資料前，優先為任務新建一個獨立資料夾，只把需要處理的副本放進去。

預設權限可以減少誤操作風險，但不能替代備份。這是兩回事：護欄防的是「它做了不該做的事」，備份防的是「它做了該做的事但做錯了」。

預設權限會保護什麼

在預設權限下，重點保護的是重要資產和高風險動作。開啟刪除保護後，普通檔案寫入通常可以直接繼續；但一旦涉及敏感路徑、重要刪除、指令碼命令或網路等風險操作，仍會停下來讓你確認。

通常需要確認的：

操作型別	說明
寫入受保護或敏感路徑	避免覆蓋金鑰、憑據或安全配置
刪除受保護檔案、重要目錄或批次刪除	避免誤刪難以恢復的資料；普通單檔案刪除通常由刪除保護兜底
執行指令碼、命令或外部程式	可能修改檔案、訪問網路或影響系統環境
網路訪問或敏感能力	命中安全中心規則或高風險能力時會要求確認

如果你取消確認，WorkBuddy 不會執行這一步。 你可以繼續和它對話，讓它換一種更安全的處理方式——比如先列出將要刪除的檔案清單，或把結果儲存到工作空間內。

沙箱還額外提供幾層保護：

• 命令會優先在沙箱約束下執行；如果被攔截，再按風險決定是否需要你確認
• 刪除保護會盡量通過安全刪除或回收站降低誤刪風險
• 檔案備份會在修改已有檔案前儲存備份，新建檔案不重複備份

為什麼它比「讓 AI 先分析一遍指令碼」更穩

一個常見的替代方案是：讓 AI 先看一段命令或指令碼，判斷它看起來是否危險。

這個做法的問題在於，實際執行時風險可能來自很多地方：

• 指令碼內部又呼叫了其它指令碼或工具
• 檔案路徑由執行時動態生成，開始時看不出來
• 一個普通命令可能因為參數不同而刪除、覆蓋或移動大量檔案
• 外部程式的真實行為不一定能只靠指令碼文本判斷

預設權限的保護點不停留在「看起來像什麼」，而是在 WorkBuddy 準備進行高風險操作時，再要求確認一次。即使普通檔案寫入可以順暢繼續，只要下一步觸發確認條件，決定權仍然回到你手上。

確認彈窗該怎麼讀

當 WorkBuddy 需要確認時，重點看三件事：

1. 操作內容——是寫檔案、刪檔案，還是執行指令碼
2. 影響範圍——目標路徑是否在本次任務的工作空間內，是否會影響桌面、下載目錄、專案原始碼或其它重要目錄
3. 執行理由——這一步是否確實是完成任務所必需的

不確定就取消

取消不是失敗。取消之後，你可以讓它改成：

• 先展示將要修改或刪除的檔案清單
• 先生成預覽或備份
• 把輸出儲存到工作空間內
• 把指令碼內容解釋清楚後再執行

這幾句話的成本是十幾秒，比事後找回檔案便宜太多。

完全訪問權限

「完全访问权限」會關閉上述二次確認。開啟後，執行高風險操作時不再逐步請求確認，包括寫入檔案、刪除檔案、執行指令碼和呼叫外部程式。

生效範圍是當前客戶端的所有任務

這是最容易被誤解的一點：它不是隻對當前任務生效。

開啟後，當前客戶端內所有已存在任務和後續新建任務統一生效；在對話過程中關閉後，所有任務恢復預設確認流程。該設定不跨裝置生效，每臺客戶端獨立管理。

切換時會彈出「確認允許完全訪問？」，明確列出將放開的能力（檔案操作、終端命令、訪問網際網路），並提示所有任務將減少確認步驟、直接操作你的電腦。先確認當前任務和檔案都可恢復，再勾選風險確認。

完全放開不等於更安全

它不會自動幫你判斷風險，只是把確認環節交給 AI 自動通過。

建議只在完全可信的任務、隔離環境或臨時測試目錄中使用——Docker、虛擬機器、一次性工作目錄。

不建議開啟的場景：

• 正在處理生產資料、客戶資料、財務資料或唯一副本
• 工作目錄靠近桌面、下載目錄、個人文件根目錄或專案倉庫根目錄
• 任務會批次刪除、批次重新命名或覆蓋檔案
• 任務需要執行你不瞭解的指令碼或第三方工具
• 當前電腦裡有重要檔案，且沒有備份

兩檔對比

對比項	「默认权限」	「完全访问权限」
檔案訪問範圍	沙箱約束內，越界需請求允許	計算機上任意位置
刪除 / 修改檔案	需逐次確認	多數直接執行
終端命令	系統級命令需確認	可直接執行命令、安裝軟體、改系統設定
訪問網際網路	受控，敏感動作需確認	可訪問網站、傳送資料、使用已啟用連接器
打斷頻率	較高	很低
生效範圍	當前任務	全域性，所有任務統一生效
風險等級	低	高

按場景選：

場景	建議
日常文件生成、表格處理、資料整理	預設權限
第一次處理某類任務，或目標還不明確	預設權限，並優先讓它先列計劃
需要批次刪除、移動或覆蓋檔案	預設權限，確認前仔細檢查路徑和清單
在隔離目錄裡反覆執行可信指令碼	可以短時間開完全放開
在 Docker、虛擬機器或臨時測試環境中做實驗	可以按需開啟
生產環境、重要裝置、唯一檔案副本	不建議開啟

推薦使用方式

1. 先選好工作空間——為每個任務準備獨立資料夾
2. 重要檔案先備份——尤其是批次處理、刪除、重新命名任務
3. 預設使用預設權限——讓它在關鍵風險點向你確認
4. 看懂確認彈窗再繼續——重點檢查操作型別、路徑和影響範圍
5. 不確定就取消——讓它先解釋、預覽或生成清單
6. 完全放開用完即關——只在可信、隔離、可恢復的環境中短時間使用

預設權限的目標不是讓你頻繁確認

而是在最容易造成損失的地方多一道確認。多數日常任務可以繼續自動完成；真正可能修改電腦重要狀態的動作，才由你最後把關。

安全中心

安全中心統一管理與安全、執行時相關的配置。除了兩檔權限模式，你還可以在這裡進一步收緊 Agent 的行為邊界。

程式黑名單

在命令安全中設定程式黑名單，被列入的程式將無法被 Agent 及其呼叫的子程式啟動。

• 適合封禁你不希望 AI 觸碰的程式
• 命中後相關呼叫會被直接阻止，不會再向你詢問

和確認彈窗的區別是：彈窗是「問你一下」，黑名單是「根本不問，直接拒」。適合放那些你確定永遠不該被碰的東西。

檔案讀寫規則

在强制审批黑名单中，可以為敏感目錄設定攔截規則：

規則型別	命中後的行為
寫	寫入檔案前彈窗詢問
讀寫	讀取和寫入前都會彈窗詢問

三條細節：

• 只訪問檔名、不讀取內容的工具（如 find）不會觸發彈窗
• 讀取檔案內容的工具（如 grep）同樣受讀規則管控
• 預設規則已包含對 ssh 等敏感資料目錄的讀保護

值得加進去的目錄

• 密碼管理器的資料目錄
• .env、金鑰、證書所在的目錄
• 財務、法務、HR 相關的資料目錄
• 任何你不希望內容進入模型上下文的地方

自動備份

在沙箱安全中開啟自動備份後，Agent 修改已有檔案前會自動生成一份快照；新建檔案不重複備份。開啟後，檔案修改可直接進行，不再逐個彈窗詢問。

機制細節：

• 同一個檔案在一次對話輪次內，只在首次修改前生成快照
• 可點選「開啟備份目錄」檢視當前會話的備份檔案
• 所有會話共享備份空間，預設上限 3000 MB；空間不足時按時間順序清理最早的備份

保持開啟，但別當成備份方案

自動備份預設開啟，建議保持。它不替代你自己的重要檔案備份，僅用於在 Agent 改錯時快速回退。

3000 MB 的上限和「按時間清理最早的」這兩條意味著：跑幾天大任務之後，早期的快照可能已經沒了。

惡意域名攔截

WorkBuddy 內建惡意域名庫。在沙箱內發起網路訪問（指令碼、命令列等）或抓取網頁前，會先檢查目標域名，命中惡意域名即拒絕訪問。

• 判斷全部在本地完成，每次訪問不會向後臺發起請求
• 域名庫每天更新，更新失敗時繼續使用上一版本
• 覆蓋沙箱內的網路訪問與網頁抓取；不覆蓋外掛內部的網路訪問與搜尋服務

最後一條是邊界所在：裝了第三方外掛，它自己發起的網路請求不受這道攔截保護。這也是 技能安全審查 重要的另一個理由。

常見問題

Q：預設權限會不會讓模型什麼都做不了？

不會。沙箱內的常規操作照常執行，只有越界和高危操作才需要確認。日常寫作、分析、生成文件等任務基本不受影響。

Q：完全訪問權限只對當前這個任務生效嗎？

不是。 它是全域性開關，開啟後所有任務都會切到完全訪問，包括之後新建的任務。

Q：開啟完全訪問後還能關回去嗎？

可以。回到輸入框底部的權限面板，關閉「允许完全访问」開關即可恢復預設權限。

Q：預設權限下模型每一步都要問我嗎？

不是每一步。只有超出沙箱範圍或屬於高危型別（刪除、修改、系統命令、對外發送等）的操作才會詢問。

Q：整理桌面後好像有檔案丟了？

這是 Windows 上的一個已知現象。處理辦法：先檢查目標整理目錄和回收站；執行前應該先備份桌面重要檔案。保留生成的指令碼和執行結果截圖便於排查。

更根本的建議是：不要讓它直接整理桌面。 桌面是個混雜目錄，把要整理的東西挑出來放進獨立資料夾再動手。

下一步

11 Git 整合與並行任務——面向開發者的隔離能力。