4.2 安全沙箱机制

上一节我们说默认权限是一道"确认关"，但 WorkBuddy 的安全防护不止于此。在它背后，还有一套更底层、更智能的机制——安全沙箱。

如果说默认权限是"门口的保安"，那安全沙箱就是"车间里的防护网"：它不是等你出事了才补救，而是在每一个危险动作发生前的那一刻就把它拦下来。这一节，我们看清它的运作方式。

一、什么是安全沙箱#

沙箱（Sandbox） 是一种隔离执行环境。WorkBuddy 默认优先在沙箱约束下执行任务，让 AI 的操作被限制在一个可控的范围内——就像让小朋友在围栏里玩耍，能玩得尽兴，但翻不出围栏。

沙箱的核心思想是：

它和默认权限的关系是互补的：

二、沙箱的三大安全习惯#

安全沙箱在执行任务时，会默认遵循三个"安全习惯"，最大限度降低误伤：

1. 优先在沙箱约束下执行#

AI 不会一上来就直接在你真实系统里大刀阔斧地操作，而是优先在受约束的环境中处理，把不可控的影响降到最低。

2. 安全删除（走回收站）#

涉及删除时，沙箱默认采用安全删除——文件先进回收站，而不是直接抹掉。这意味着：

• 删错了还能找回来
• 即便授权了删除，也不会造成不可逆的损失
• 给你留足了后悔的余地

3. 修改前备份现有文件（Windows 支持）#

在 Windows 上，沙箱还支持修改文件前先备份现有文件。AI 要改一个已有文件时，会先把原文件备份一份，再动手改。这样即便改崩了，原文件还在。

三、动态风险评估：动作发生前一刻的判断#

安全沙箱最核心、也最聪明的能力，是动态风险评估。它不是死板地按规则拦截，而是在每个动作真正发生前的那一刻，实时判断这个动作的风险高低。

什么时候会触发评估#

脚本运行过程中，出现以下"苗头"，沙箱会立刻警觉并在动作发生前评估：

这些信号的共同点是：它们往往意味着脚本的实际行动超出了原本说明的范围，潜藏着不可控的破坏力。

评估发生在"动作发生前"#

注意这个时点——不是事后补救，而是事前拦截。沙箱在危险动作真正执行的那一瞬间介入，给你留出确认的机会。

bash
复制
AI 计划动作 → 沙箱实时评估风险
    ├── 低风险 → 放行执行
    └── 高风险 → 暂停，请用户确认

四、你取消了，AI 会怎么办#

这是安全沙箱最人性化的一点：如果你在评估时取消了某个高风险动作，AI 不会卡死，而是会自动改用更安全的方式。

常见的"更安全替代方案"有：

1. 先预览再执行：把要做的改动先展示给你看，确认后再真正执行
2. 输出到工作区：把结果先写到工作区的一个临时文件，而不是直接覆盖原文件
3. 先解释脚本：如果是要运行脚本，先把脚本内容讲清楚，征得你同意再运行

举个例子：AI 想批量重命名你下载目录里的 100 个文件，沙箱评估发现"参数会意外覆盖大量数据"，暂停了。你选择取消——

• AI 不会就此罢手
• 它会改成"先在工作区生成一份重命名预览表"，让你核对
• 你确认无误后，再实际执行

你取消的不是任务，而是某个有风险的具体步骤；AI 会想办法用更稳妥的方式达成同样的目标。

五、沙箱与你的协作#

安全沙箱不是要和你"对着干"，而是和你协作把关。它的存在让你可以更放心地让 AI 去做复杂操作：

• 你不必逐行审查每个脚本
• 你不必时刻盯着 AI 别删错文件
• 你只需要在沙箱"喊停"时，做一个明智的判断

而做一个明智的判断，靠的就是下一节要讲的——危险操作三要素确认。

小结#

安全沙箱是 WorkBuddy 安全体系的底层引擎，记住四个关键：

1. 优先在沙箱约束下执行，把影响隔离在可控范围
2. 安全删除走回收站，修改前先备份（Windows），留后悔余地
3. 动态风险评估发生在动作发生前一刻，针对隐藏工具、动态路径、批量覆盖等信号
4. 你取消后 AI 会改用更安全的方式（预览/输出到工作区/先解释脚本），不会卡死

下一节，我们看看权限模式的另一个极端——完全放开模式，以及面对真正的危险操作时，该如何用"三要素"做判断。