编码客户端通常有权限模式：只读、工作区内写入、或全盘。从只读或工作区开始。需要越界时再临时放宽，不要设成永远允许。
工具批准和沙箱不是一回事。沙箱挡住意外路径；批准让你看见即将执行的命令或 MCP 调用。对照「MCP 工具调用要故意批准」。
CI 和脚本没有人点允许。把批准设成失败或只允许清单内工具，而不是静默放行。日志里应能看到被拒的调用。
改完用一条会越界的提示试：读 ~/.ssh 或改仓库外文件。若成功了，把模式收紧。本站目录条目不是对这些工具的审计。
Agent 沙箱和批准怎么设
沙箱限制进程能碰的文件和网络；批准决定它何时真正执行。两者都要比默认宽松更安全。