默认权限与安全沙箱：让 AI 放手干活又不越界

作用先知道自己当下处在哪一档权限，是安全使用一切文件类任务的前提——发起任务前就能预判 AI 会不会直接动手。

操作权限入口位于输入框底部，是一个常驻的权限状态按钮，默认显示为「默认权限」。点击它可以查看当前权限状态与说明，并通过「允许完全访问」开关在两档之间切换。这个状态在输入框上始终可见。

注意日常建议保持默认权限；只有在任务可恢复、环境可隔离时才短时间切到完全访问，用完立刻切回来。

作用默认权限不是让 AI 什么都做不了，而是在高风险节点把决定权交回给你，这一步帮你判断哪些动作必然会被拦下。

操作在默认权限下，开启删除保护后普通文件写入通常可以直接继续，但遇到四类情况会停下来请你确认：写入受保护或敏感路径、删除受保护文件或批量删除、执行脚本命令或外部程序、网络访问命中安全中心规则。若你取消确认，这一步不会执行，可以继续对话让它换更安全的处理方式。

注意工作空间是默认权限的判断边界，超出这个范围就会暂停请求确认；建议把本次要处理的文件放进同一个独立文件夹，但它不能替代你自己的备份。

作用确认弹窗是最后一道人工关卡，看懂它比无脑点「允许」更能避免不可逆损失。

操作收到确认提示时依次核对：操作内容（写文件、删文件还是跑脚本）、影响范围（目标路径是否在本任务工作空间内，会不会波及桌面、下载目录或项目源码）、执行理由（这一步是否真的必要）。拿不准就先取消，让 WorkBuddy 换个更安全的做法。

注意取消确认后这一步不会执行；批量删除、移动、覆盖文件前，务必逐条核对路径和文件清单再放行。

作用完全访问会关掉二次确认、大幅减少弹窗，代价是 AI 误判目录或脚本写错路径时会直接作用到你的真实文件。

操作点击输入框底部权限面板的「允许完全访问」开关，会弹出「确认允许完全访问？」，其中列出将放开的能力：文件操作、终端命令、访问互联网。确认当前任务和文件都可恢复后，勾选风险确认并点击「允许完全访问」；不确定就直接取消，继续使用默认权限。

注意它是全局开关：开启后当前客户端内已存在和后续新建的任务统一生效，但不跨设备，每台客户端独立管理；用完即关。

作用权限模式决定整体访问范围，安全中心则把文件、命令、网络、数据这些维度拆开，让你做到更细粒度的控制。

操作打开设置中的安全中心，配置项按功能分组管理：沙箱安全是总开关，其下还有文件安全、命令安全、网络安全与自动备份；另有工具管控、数据安全、内置运行时、审计中心和系统授权（仅 macOS）几组。逐项看过一遍，就知道自己手里有哪些可以单独收紧的旋钮。

注意自动备份默认开启，同一文件一轮对话内只在首次修改前生成快照，所有会话共享备份空间、默认上限 3000 MB，空间不足时按时间清理最早的备份；它只用于快速回退，不替代你自己的备份。

作用权限模式管的是整体范围，真正的出网动作和可调用工具还可以单独设限，这是拦截意外外发的第一道闸。

操作在安全中心的网络安全里按域名 / URL 配置访问规则；在工具管控里逐个启停 Agent 可调用的产品工具与 MCP 服务，配置保存在本地、修改后对后续工具调用即时生效。

注意网络严格模式默认关闭且仅 macOS 支持，开启后会影响 SSH、直连数据库工具等程序，且设置变更只对新发起的命令生效，不影响正在运行的任务。

作用改错了能不能回退、密钥会不会被带出去，是文件类任务最实际的两个风险点，而这两项默认就在替你兜底。

操作在沙箱安全中确认自动备份已开启，需要时可点击打开备份目录查看当前会话的备份文件；敏感保护默认开启，点击其右侧设置入口可进入独立配置页，分「自动检测规则」与「敏感数据管理」两个页签。

注意敏感保护命中的密文不支持手动配置；部分内置能力（如通过 MCP Token 调用的工具）已在白名单内，不会弹确认，别误以为所有外发都会被拦。

作用陌生工作区里的开发配置可能在你不知情时自动执行命令，弹窗就是为了防止这类「开箱即执行」。

操作首次打开包含开发配置目录（如 .codebuddy）且尚未加入信任白名单的工作区时，会弹出安全信任弹窗并提示触发检查的目录类型。选择正常打开，该工作区加入白名单，后续再打开不再重复弹窗，切换任务也不改变其信任状态；也可选择以「受限模式」打开。

注意信任以工作区目录为单位、各工作区独立判断，信任一个不会让其他工作区默认受信；受限模式会常驻显示在界面上，需通过提示中的入口信任该工作区才解除，且信任在当前轮次会话及后台子任务执行完成后才生效。