安全边界

安全边界发生在动作之前，而不是靠 Prompt 提醒模型“谨慎一点”。

Permission Mode

模式不会关闭不可绕过的硬安全边界。

Workspace

文件 Tool 只能访问配置的 Workspace。路径校验必须发生在实际文件操作之前，不能依赖模型自行遵守。

Shell 与 Approval

Shell 接受程序名和参数数组，不接受拼接的命令字符串。高风险操作的审批绑定 exact argv；改变参数后 必须重新评估，旧审批不能复用。

HTTP 与 Secret

HTTP Tool 经过 SSRF 防护，阻止访问不应暴露的本地或内部地址。Secret 不进入 Prompt、普通日志或 Memory，也不应出现在截图和问题报告中。

不要为了演示关闭门禁

如果某个动作被硬拒绝，应修改请求范围或配置，而不是删除校验、放宽断言或绕开 Policy。

完整安全决策以仓库架构文档和测试为准。