安全设置参考

Fine-grained local security controls in Delegate and Cartographer — tool permissions, terminal and files, protected files, and UI automation — that extend beyond Approval mode.

这些设置位于“设置” → “安全”下，分为四个区域：工具权限、终端和文件、受保护的文件和用户界面自动化。

工具权限

当 Delegate 需要您的批准时进行配置。工具分为四个顶级类别，每个类别都显示其涵盖的工具或操作的数量：

类别	覆盖
连接器	Slack、GitHub、Notion、Linear、Jira、Microsoft 365 等
Office	Word、Excel、PowerPoint、Outlook、Teams
系统工具	文件系统、网页搜索、计算机使用、内存、Shell
MCP 服务器	您已连接的任何 MCP 服务器

展开类别会进一步细分。例如，系统工具分为四组：

组	覆盖	默认
只读	读取文件、搜索网页、检查用户界面元素 — 不会更改任何内容的操作	允许
写入 (&)修改	创建或编辑文件、下载文件、生成图像	询问
用户界面自动化	单击、键入内容或以其他方式与应用程序交互	询问
Shell &；脚本	运行 PowerShell 或 Bash 命令	询问

每个组都可以独立设置为“允许” （自动运行）、 “询问”（先提示）或“阻止” （自动拒绝），并进一步扩展以设置自己的单个操作。

连接器和 Office 在各自的规模上遵循相同的“只读”与“写入-修改”原则：每个应用或服务（Outlook、Slack、Excel 等）都可以分解为自己的操作，通常以相同的方式拆分 —例如，读取 Slack 频道或 Excel 范围是只读的，而发布消息或写入范围是写入 — 各自以与系统工具相同的方式设置为“允许”、“询问”或“阻止”。

MCP 服务器的处理方式与其他类别相同，不同之处在于可用的操作完全取决于您的组织已配置的服务器。

终端和文件

Delegate 可以通过Shell 命令沙盒运行 Shell 命令和脚本，该沙盒目前为测试版：一个作用域感知的沙盒管理器，使用 Windows AppContainer 实现内核级文件系统、网络、流程和凭据隔离。有关沙箱的工作原理，请参阅安全性概述中的脚本编写和执行代码。

内核隔离

一个开关，可以为 shell 命令打开或关闭沙箱。关闭此选项后，系统会以完全的用户权限运行命令，而非在安全性概述中所述的受限环境中运行。

路径

Shell 命令只能访问此处列出的路径；其他所有内容都将被阻止。除默认路径外，请添加您自己的路径。

功能

Additional capabilities you can grant to sandboxed shell commands, since they're outside what the sandbox allows by default. Internet access, Private network, and Removable storage are off by default; Shell profile is on by default:

• Internet access (off by default) — lets sandboxed commands make outbound network connections (HTTP, HTTPS, etc.).
• Private network (off by default) — lets sandboxed commands reach your local network or LAN.
• Removable storage (off by default) — lets sandboxed commands read or write USB drives and external disks.
• Shell profile (on by default) — loads your shell's profile (.zshrc, .bash_profile, or PowerShell profile) before running commands, so your usual aliases and environment variables are available.

对这些内容的更改可能需要重新启动应用程序才能生效。

被阻止的命令

阻止运行特定类型的命令 — 单击建议进行添加，或输入自定义模式（例如，shutdown、format c:、netstat）。系统会在执行前检查这些模式：智能体的命令作为正则表达式与这些模式进行匹配，并在运行前阻止。这是与内核隔离不同的机制，无论沙箱是否处于开启状态都适用。

受保护的文件

Delegate 需要批准才能访问以下文件，这些文件按保护的内容分组：

类别	保护	示例模式
密码	环境文件和凭据存储	.env、.env.*、secrets/*、credentials/*、.npmrc、.pypirc
键	SSH 密钥和证书	.ssh/*、*.pem、*.key、*.p12、id_rsa、id_ed25519
Cloud	云提供商凭据	.aws/*、.azure/*、.gcloud/*、service-account*.json
Config	项目配置文件 — 读取不受限制，仅写入需要批准	tsconfig.json、.eslintrc*、Dockerfile、.github/workflows/*
数据	本地数据库和历史记录文件	*.sqlite、*.db、wallet.dat、.bash_history

除此之外，您还可以添加自己的自定义路径或模式。

用例：捕获可能包含凭据、加密材料、云帐户访问权限或其他敏感数据的文件，而无需自行枚举每个可能的位置。

用户界面自动化

控制哪些应用程序和网站 Delegate 可以在无需询问的情况下操作，以及永远不能点击。

受信任的应用程序和站点（自动批准）

• 受信任的应用程序— Delegate 无需询问即可使用的应用程序。按类别（代码编辑器、终端、Office Apps、文件管理器、笔记和文档）快速添加，或输入以选择已安装或当前正在运行的任何单个应用程序。
• 受信任的站点— Delegate 无需询问即可使用的站点。搜索或输入域名；您的浏览器历史记录可以帮助您进行选择。

受保护的应用程序和网站（阻止）

• 阻止的应用程序— Delegate 无法打开或与之交互的应用程序。输入或选择应用程序以进行添加。
• Blocked websites — sites Delegate won't access. Recommended for banking, payments, password managers, and anything sensitive. Quick-add an entire category with one click — Banking, Payments, Crypto, Password Manager, Government, Healthcare — which populates the list with a set of known sites for that category, or search/enter a domain to add one yourself.

用例：预批准受信任的工作流（例如 Microsoft Excel、Microsoft Word 或内部站点），使其不会触发重复的确认提示，并阻止特定应用程序或站点或整个敏感类别，以便智能体永远无法读取或请对其执行操作。

权限设置最佳实践

See Permission setting best practices for recommendations by role — individual users, IT administrators, and developers creating skills.