GitHub Copilot app 的本地沙箱不能只看“已开启”。工程核对要拆成三件事Windows 能否执行拒绝策略、Linux 派生进程的本地网络边界以及当前会话是否属于本地会话。本文给出一份只记录可观察事实的核对表不把配置声明当成运行结果。这份核对表先确认哪三类边界据GitHub 2026 年 9 月 23 日更新本地沙箱功能仍处于公开预览阶段。它的工程价值不是承诺“所有命令都安全”而是让工具在操作系统沙箱里运行当操作系统无法执行请求的策略时沙箱 shell 应报错而不是脱离沙箱继续运行。因此核对顺序应从“这个结论适用于哪里”开始而不是先跑一条命令核对 Windows 活动沙箱无法保证拒绝时的unsupported-policy失败条件预期结果是失败关闭不是降级为无沙箱运行。记录 Linux 派生进程的本地网络访问不能被沙箱独立控制需要单独记录 shell、本地 MCP 或 LSP 这类派生进程。对照默认策略列出的依赖安装、本地开发服务器、分支推送与创建 PR 任务类型同时确认本地沙箱设置不适用于云沙箱或远程主机会话。这三项分别回答“拒绝是否会失败关闭”“网络控制覆盖到哪一层”“本地策略是否适用于当前会话”。操作系统无法执行请求的策略时沙箱 shell 报错而非无沙箱运行。Windows 的 unsupported-policy 到底说明什么GitHub 配置文档给出的边界很具体Windows 项目设置可以保存拒绝路径如果活动沙箱能力无法保证该拒绝沙箱命令会以unsupported-policy消息失败。这里能确认的是“请求的拒绝策略没有被执行”以及命令不会带着被拒绝路径可访问的状态继续运行。这条消息不能被扩写成“代码有问题”“权限不足”或“某条安装命令一定被拒绝”。它只绑定一个条件活动 Windows 沙箱能力无法保证请求的拒绝。核对记录应保留平台返回的原始消息、会话位置和本次请求涉及的策略类型没有看到返回消息时不补写原因。对工程流程来说正确的停损动作是停止重复执行同一操作先回到策略声明和操作系统支持范围。这里的“停止”不是把问题判成已解决而是避免把一个平台能力边界误修成应用代码问题。若后续更换系统版本或策略内容需要新建一次核对记录不能沿用旧会话结论。建议把 Windows 项记录为三态observed_failure表示确实看到失败消息not_observed表示未观察到该分支unknown表示当前没有可回读证据。三态记录比“通过/失败”更准确因为本文没有进行读者环境中的运行时实测。Linux 派生进程为什么要单独记账GitHub 文档指出在 Linux 上沙箱不能独立控制派生进程的本地网络访问例子包括 shell 命令、本地 MCP 服务器和 LSP 服务器。这个限制说的是“本地网络访问的独立控制”不能扩大成“Linux 上沙箱全部失效”也不能反过来假定所有派生进程已经被隔离。核对时应把 Agent 主进程与派生进程分成两行。主进程行只记录当前会话与策略声明派生进程行记录进程类型、是否涉及本地网络以及证据来源。没有网络流量、系统消息或平台页面回读时observed保持为空。这样做的目的不是制造实测数据而是防止主进程的沙箱状态被错误继承到派生进程。本地 MCP 与远程 MCP 也不能混写。冻结资料只支持“本地 MCP 属于派生进程示例”这一边界它没有证明某个具体 MCP 服务已访问网络也没有给出读者机器上的流量结果。因此本文只提供记录结构不声称任何具体服务被允许或被阻止。如果团队把“允许本地网络”当成默认前提仍需在交付记录里写出这个前提。默认值不等于永久值公开预览能力也可能变化。后续策略、系统或会话类型改变时应重新核对对应行而不是在旧记录上覆盖答案。Linux 上派生的本地 MCP 或 shell 进程不能被沙箱独立控制本地网络访问。默认允许任务和远程会话如何分开官方资料列出的默认策略任务包括安装依赖、连接本地开发服务器、推送分支和创建拉取请求。这是一份“任务类型清单”不是读者环境的成功证明。正文因此只要求对照任务类型不要求用npm install或git push去制造验证结果也不会把命令成功等同于所有沙箱边界都正确。远程会话则属于另一条判断路径。GitHub 明确说明本地沙箱设置不适用于云沙箱会话或远程主机上的会话。操作员若无法从当前界面或既有会话信息确认位置应记录unknown不能仅凭命令是否成功反推会话是本地还是远程。下面的 YAML 是作者定义的人工核对记录不是 GitHub 配置字段也不代表运行时已经通过。填写规则只有一条只写已经从平台页面、会话信息或原始返回消息中读到的内容其他字段保持null。audit_record:session_location:null# local / cloud / remote / unknownwindows_denial:requested_policy:null# 只写本次实际核对的策略类型platform_message:null# 原样记录未观察到则为空state:unknown# observed_failure / not_observed / unknownlinux_spawned_process:process_type:null# shell / local_mcp / lsp / otherlocal_network_involved:nullobserved:null# 不根据主进程状态推断default_task_type:dependency_install:nulllocal_dev_server:nullbranch_push:nullpull_request:nullevidence_note:null# 页面、会话信息或系统返回消息这份表的完成条件不是所有字段都有值而是每个非空值都有可回读证据。Windows 项只记录拒绝策略的执行边界Linux 项只记录派生进程的本地网络控制边界默认任务项只做清单对照云端与远程会话明确标为不适用。四者分开后团队才不会把“设置存在”误写成“策略已验证”。最后保留一个失败边界如果操作系统不能执行请求的策略正确结果是 shell 失败而不是无沙箱运行如果会话位于云端或远程主机本地沙箱设置本身就不适用。遇到这两类情况应停止沿用本地策略结论并把未确认项留空。