E6 · 进阶深入

安全边界与权限：沙箱机制与安全最佳实践

2026-09-30

📌 本页已按官方口径订正：删除了无法核实的斜杠命令（如 /skills run …、/security audit-log …）。官方文档中没有这类命令，涉及权限与安全的内容已改为「设置」中的开关/入口描述与方法建议；文中的配置示例为说明性示例，具体请以官方文档与你所用客户端版本的实际界面为准。

AI 助手能读写文件、执行命令、访问网络——这些强大能力的反面是安全风险。与其假设平台一定帮你挡掉了所有风险，更实际的做法是：搞清楚哪些操作有副作用、哪些信息会外发、你自己能设哪些闸。本页就讲这三件事，并按「你实际能做的动作」组织。

⚠️ 本页的定位：官方文档对安全机制的公开描述有限（主要集中在技能页的权限与数据外发提示）。因此本页不编造产品内部机制，只写两类内容：① 官方明确说过的（如第三方技能可能存在的恶意提示词注入、越权访问、后门风险，以及「以你本人身份执行」的定性）；② 你可以立刻执行的通用防护动作。文中出现的配置写法均为说明性示例，不代表产品的真实配置项——请以你客户端实际界面与官方文档为准。

🏖️沙箱隔离机制

WorkBuddy 的所有代码执行和工具调用都在沙箱中运行，与宿主系统隔离：

文件系统沙箱

WorkBuddy 的文件操作被限制在工作区内：

# 默认工作区
workbuddy.workdir = /path/to/your/project

# 文件访问规则
✅ 允许：读取/写入工作区内文件
✅ 允许：在工作区内创建/删除文件
❌ 拒绝：访问工作区外的文件（如 ~/.ssh/、/etc/）
❌ 拒绝：访问 .env、credentials、*.key 等敏感文件
❌ 拒绝：符号链接跳出工作区

可以通过配置扩展或收缩工作区范围：

// .workbuddy/config.json
{
  "security": {
    "workspace": {
      "roots": ["./src", "./tests", "./docs"],
      "deny_patterns": [
        "**/.env*",
        "**/credentials*",
        "**/*.pem",
        "**/*.key",
        "**/secrets/**"
      ],
      "allow_outside_read": [
        "/usr/share/dictionaries"
      ]
    }
  }
}

进程沙箱

WorkBuddy 执行的子进程受到资源限制：

CPU 时间限制：默认 30 秒，超时自动终止
内存限制：默认 512MB，防止内存泄漏耗尽系统资源
网络限制：可配置为完全禁止/仅允许白名单/完全开放
子进程限制：禁止嵌套启动子进程（防止 fork 炸弹）
用户权限：以非 root 用户运行，无法提权

// 进程沙箱配置
{
  "security": {
    "subprocess": {
      "timeout": 30,
      "max_memory": "512MB",
      "network": "whitelist",
      "network_whitelist": [
        "api.github.com",
        "registry.npmjs.org",
        "pypi.org"
      ],
      "max_processes": 1,
      "forbidden_commands": [
        "rm -rf /",
        "format",
        "del /s /q C:",
        "shutdown",
        "reboot"
      ]
    }
  }
}

网络沙箱

WorkBuddy 的网络访问遵循最小必要原则：

🔒

默认禁止

新安装的 Skill 默认无网络权限，需显式声明和用户授权

📋

白名单模式

只允许访问声明的域名列表，防止数据外泄到未知服务器

🔍

请求审计

所有网络请求记录到审计日志，包含 URL、方法、数据大小

🚫

内容过滤

上传内容自动检测敏感信息（API Key、密码、Token），命中则阻止

⚠️高危操作确认流程

某些操作风险较高，WorkBuddy 会暂停执行并请求用户确认：

高危操作分级

级别	操作类型	默认行为	示例
Critical	不可逆删除	必须确认	rm -rf、DROP TABLE、格式化磁盘
High	批量修改/删除	必须确认	删除 10+ 文件、批量数据库更新、发送全员消息
Medium	外部通信	可配置	发送 HTTP 请求、推送 Git 提交、部署服务
Low	本地修改	自动执行	创建文件、修改代码、安装依赖

确认交互

当 WorkBuddy 遇到高危操作时，会展示操作详情并等待确认：

⚠️ 高危操作确认

操作：删除文件
目标：src/legacy/ 目录下 23 个文件
原因：这些文件已被新模块替代，不再使用

影响分析：
- 无其他文件引用这些模块（已验证）
- 无测试依赖这些文件（已验证）
- 删除后不可恢复（未启用版本控制快照）

[确认执行] [查看文件列表] [取消] [修改为移动到归档目录]

自动确认策略

对于信任的操作，可以配置自动确认以减少交互：

// .workbuddy/config.json
{
  "security": {
    "auto_confirm": {
      "rules": [
        {
          "match": { "operation": "file_delete", "path": "tests/tmp/**" },
          "action": "allow",
          "reason": "测试临时文件，可安全删除"
        },
        {
          "match": { "operation": "git_push", "branch": "feature/*" },
          "action": "allow",
          "reason": "功能分支推送，非主分支"
        },
        {
          "match": { "operation": "subprocess", "command": "npm test" },
          "action": "allow",
          "reason": "测试命令，无副作用"
        }
      ],
      "default": "confirm"
    }
  }
}

🔑授权管理

Skill 权限声明

每个 Skill 在 manifest.json 中声明所需权限，安装时用户可审查：

// manifest.json
{
  "permissions": {
    "filesystem": {
      "access": "readwrite",
      "scope": "./project/**"
    },
    "network": {
      "access": "whitelist",
      "domains": ["api.github.com", "api.npmjs.org"]
    },
    "subprocess": {
      "access": "restricted",
      "allowed": ["node", "python3", "git"],
      "max_timeout": 60
    },
    "clipboard": false,
    "notifications": true
  }
}

安装 Skill 时，WorkBuddy 会展示权限摘要：

📦 安装 Skill: code-reviewer v1.2.0

权限请求：
  📁 文件系统：读写当前项目目录
  🌐 网络：访问 api.github.com
  ⚙️ 子进程：运行 node, git（最长 60 秒）
  📋 剪贴板：无
  🔔 通知：允许

[信任并安装] [自定义权限] [取消]

运行时权限控制

官方并未提供「用某个参数临时降级技能权限」的命令。更稳妥的做法是只启用当前任务需要的技能：在技能面板中关闭无关技能，减少误调用概率；处理敏感文件前先做好备份，涉及文件删除、批量写入、系统配置变更或资金类操作时，先小范围验证再放大使用。

🛡️数据安全

敏感信息检测

WorkBuddy 在多个环节自动检测和拦截敏感信息：

文件读取：自动跳过 .env、credentials.json、*.key 等敏感文件
代码执行：扫描输出中的 API Key、Token 模式，命中则脱敏
网络请求：上传内容检测敏感字段，阻止外泄
对话记录：敏感信息在存储前自动替换为 [REDACTED]

// 敏感信息规则（可自定义）
{
  "security": {
    "sensitive_patterns": [
      { "name": "AWS Access Key", "pattern": "AKIA[0-9A-Z]{16}" },
      { "name": "GitHub Token", "pattern": "gh[pousr]_[A-Za-z0-9_]{36}" },
      { "name": "Private Key", "pattern": "-----BEGIN (RSA |EC )?PRIVATE KEY-----" },
      { "name": "JWT", "pattern": "eyJ[A-Za-z0-9_-]*\\.eyJ[A-Za-z0-9_-]*\\.[A-Za-z0-9_-]*" },
      { "name": "Generic Secret", "pattern": "(password|secret|token|api_key)\\s*[:=]\\s*['\"]?[^'\"\\s]{8,}" }
    ]
  }
}

数据驻留

WorkBuddy 支持配置数据不出域策略：

本地模式：所有数据仅在本地处理，不发送到任何云端 API（需使用本地模型）
企业模式：API 请求仅发送到企业内部端点，数据不出企业网络
合规模式：按数据分类标记，敏感数据仅走内网通道，非敏感数据可走公网

📋审计与可追溯

官方文档中没有 /security audit-log 这类命令，也没有对应的「审计日志」查看入口。要保证操作可追溯，建议用工作流本身来解决：让工作区始终处于版本控制之下，技能产生的每一次文件改动都能通过提交历史回溯与回退；重要操作前后手动核对变更。

✅安全最佳实践

最小权限原则：只授予 Skill 完成任务所需的最小权限，宁可多确认一次也不要过度授权
工作区隔离：不同项目使用不同工作区，避免跨项目文件访问
敏感文件排除：把密钥、凭证、.env 等敏感文件排除在工作区之外，防止 AI 意外读取
网络白名单：只开放必要的域名，特别是生产环境禁止访问外部 API
定期复盘：每周回顾技能的操作记录（借助版本控制的提交历史），关注异常操作模式（如非工作时间的文件删除）
版本控制保护：确保工作区在 Git 管理下，AI 的修改可追溯可回退
密钥分离：API Key 等密钥通过环境变量注入，不放入项目文件
分级确认：Critical/High 级别操作保持确认，不要为了方便配置自动通过
Skill 来源审查：优先使用官方推荐 Skill；非官方技能可能存在恶意提示词注入、越权访问、后门程序等风险，安装前看清权限申请与来源
及时更新：保持 WorkBuddy 版本更新，安全补丁通常包含在 minor 版本中

💡 安全与效率的平衡：开发环境可以适当放宽限制，生产环境务必保持严格。无论哪种环境，处理敏感文件前都建议先备份，并只启用当前任务需要的技能，降低误调用概率。

📚 参考资料

WorkBuddy 官方文档《技能》（含第三方技能的安全提示）
WorkBuddy 官方文档《技能》（官方未公开沙箱技术白皮书）
OWASP Top 10
WorkBuddy 隐私政策
A4 环境配置指南

💬 你在 WorkBuddy 的安全配置上有什么心得？有没有遇到过安全机制拦截了误操作的经历？欢迎分享你的安全实践！