安全设置参考

Delegate 中的精细本地安全控件（工具权限、终端和文件、受保护的文件和用户界面自动化）已扩展到审批模式以外的范围。

These settings live under Settings → Security, organized into five areas: Tool permissions, Terminal and files, Protected files, UI automation, and Restricted access.

工具权限

当 Delegate 需要您的批准时进行配置。工具分为四个顶级类别，每个类别都显示其涵盖的工具或操作的数量：

类别	覆盖
连接器	Slack、GitHub、Notion、Linear、Jira、Microsoft 365 等
Office	Word、Excel、PowerPoint、Outlook、Teams
系统工具	文件系统、网页搜索、计算机使用、内存、Shell
MCP 服务器	您已连接的任何 MCP 服务器

展开类别会进一步细分。例如，系统工具分为四组：

组	覆盖	默认
只读	读取文件、搜索网页、检查用户界面元素 — 不会更改任何内容的操作	允许
写入 (&)修改	创建或编辑文件、下载文件、生成图像	询问
用户界面自动化	单击、键入内容或以其他方式与应用程序交互	询问
Shell &；脚本	运行 PowerShell 或 Bash 命令	询问

每个组都可以独立设置为“允许” （自动运行）、 “询问”（先提示）或“阻止” （自动拒绝），并进一步扩展以设置自己的单个操作。

连接器和 Office 在各自的规模上遵循相同的“只读”与“写入-修改”原则：每个应用或服务（Outlook、Slack、Excel 等）都可以分解为自己的操作，通常以相同的方式拆分 —例如，读取 Slack 频道或 Excel 范围是只读的，而发布消息或写入范围是写入 — 各自以与系统工具相同的方式设置为“允许”、“询问”或“阻止”。

MCP 服务器的处理方式与其他类别相同，不同之处在于可用的操作完全取决于您的组织已配置的服务器。

终端和文件

Delegate 可以通过Shell 命令沙盒运行 Shell 命令和脚本，该沙盒目前为测试版：一个作用域感知的沙盒管理器，使用 Windows AppContainer 实现内核级文件系统、网络、流程和凭据隔离。有关沙箱的工作原理，请参阅安全性概述中的脚本编写和执行代码。

A long-running command doesn't block the rest of the session: Delegate can start it, keep working on other things, read its output as it comes in, and stop it if needed.

内核隔离

一个开关，可以为 shell 命令打开或关闭沙箱。关闭此选项后，系统会以完全的用户权限运行命令，而非在安全性概述中所述的受限环境中运行。

路径

Shell 命令只能访问此处列出的路径；其他所有内容都将被阻止。除默认路径外，请添加您自己的路径。

功能

您可以向沙盒 shell 命令授予其他功能，因为这些功能不属于沙盒默认允许的范围。默认情况下，互联网访问、专用网络和可移动存储均处于关闭状态；默认情况下，Shell 配置文件处于启用状态：

• 互联网访问（默认关闭）— 允许沙盒命令建立出站网络连接（HTTP、HTTPS 等）。
• 专用网络（默认关闭）— 让沙盒命令访问您的本地网络或 LAN。
• 可移动存储（默认关闭）— 允许沙盒命令读取或写入 U 盘和外部磁盘。
• Shell 配置文件（默认情况下启用）— 在运行命令之前加载 Shell 的配置文件（ .zshrc 、 .bash_profile或 PowerShell 配置文件），因此您可以使用常用的别名和环境变量。

对这些内容的更改可能需要重新启动应用程序才能生效。

被阻止的命令

阻止运行特定类型的命令 — 单击建议进行添加，或输入自定义模式（例如，shutdown、format c:、netstat）。系统会在执行前检查这些模式：智能体的命令作为正则表达式与这些模式进行匹配，并在运行前阻止。这是与内核隔离不同的机制，无论沙箱是否处于开启状态都适用。

受保护的文件

Delegate 需要批准才能访问以下文件，这些文件按保护的内容分组：

类别	保护	示例模式
密码	环境文件和凭据存储	.env、.env.*、secrets/*、credentials/*、.npmrc、.pypirc
键	SSH 密钥和证书	.ssh/*、*.pem、*.key、*.p12、id_rsa、id_ed25519
Cloud	云提供商凭据	.aws/*、.azure/*、.gcloud/*、service-account*.json
Config	项目配置文件 — 读取不受限制，仅写入需要批准	tsconfig.json、.eslintrc*、Dockerfile、.github/workflows/*
数据	本地数据库和历史记录文件	*.sqlite、*.db、wallet.dat、.bash_history

除此之外，您还可以添加自己的自定义路径或模式。

用例：捕获可能包含凭据、加密材料、云帐户访问权限或其他敏感数据的文件，而无需自行枚举每个可能的位置。

用户界面自动化

控制哪些应用程序和网站 Delegate 可以在无需询问的情况下操作，以及永远不能点击。

受信任的应用程序和站点（自动批准）

• 受信任的应用程序— Delegate 无需询问即可使用的应用程序。按类别（代码编辑器、终端、Office Apps、文件管理器、笔记和文档）快速添加，或输入以选择已安装或当前正在运行的任何单个应用程序。
• 受信任的站点— Delegate 无需询问即可使用的站点。搜索或输入域名；您的浏览器历史记录可以帮助您进行选择。

受保护的应用程序和网站（阻止）

• 阻止的应用程序— Delegate 无法打开或与之交互的应用程序。输入或选择应用程序以进行添加。
• 阻止的网站— Delegate 不会访问的网站。推荐用于银行业务、支付业务、密码管理器以及任何敏感领域。单击即可快速添加整个类别（银行业务、付款、加密货币、密码管理器、政府、医疗保健），列表中会填充该类别的一组已知站点，或者搜索/输入域以自行添加。

用例：预批准受信任的工作流（例如 Microsoft Excel、Microsoft Word 或内部站点），使其不会触发重复的确认提示，并阻止特定应用程序或站点或整个敏感类别，以便智能体永远无法读取或请对其执行操作。

Restricted access

Scopes Delegate to an allowed set of folders, blocked paths, and approval exceptions. The same panel is shared between this global setting and the Security tab of each project's own Project settings — changes made in one are reflected in the other.

• Folders: The local folders Delegate may use.
• Blocked paths: Paths Delegate must never access, even within an allowed folder.
• Approvals: Which actions still ask for your confirmation while Restricted access is on.

Use case: Limit Delegate to a specific project's files when working with confidential information, without having to reconfigure Tool permissions or Protected files each time.

权限设置最佳实践

请参阅权限设置最佳实践，以获取按角色（个人用户、IT 管理员和创建技能的开发者）划分的建议。