FrontierAgent 安全模型完全指南任务级沙箱、/revert 回滚与 fail-closed 审批机制【免费下载链接】FrontierAgent FrontierAgent, our agent framework, open-sourced alongside it — native command-line TUI, ReAct and Agent Team modes, one command on macOS and Linux, no preinstall, no hard Docker dependency.项目地址: https://gitcode.com/gh_mirrors/fr/FrontierAgentFrontierAgent 是一款在 macOS 与 Linux 上一条命令即可使用的终端 AI 编码智能体TUI支持 ReAct 单智能体与 Agent Team 多智能体协作两种模式。它的安全模型由三根互相咬合的支柱构成任务级沙箱圈定命令执行的边界/revert一键回滚本次会话的全部文件改动fail-closed 审批门在风险无法判定时默认拒绝执行。本文带你完整拆解这三层机制让你放心地把 AI 智能体放进自己的代码仓库。为什么 AI 编码智能体需要一套显式的安全模型与传统 CI 不同AI 编码智能体会执行 Shell 命令、修改和删除文件、安装依赖而每一次操作的意图都由大模型推断。一次误判就可能从改错一个文件放大为改坏整个仓库。因此成熟框架必须在执行前回答三个问题命令在哪里运行→ 任务级沙箱改错了怎么撤→ /revert 会话回滚危险操作如何拦截→ fail-closed 审批门FrontierAgent 的答案是隔离、留痕、默认拒绝。三层共用同一条原则——宁可拒绝不可放行。一、任务级沙箱圈定 Agent 命令的执行边界FrontierAgent 让文件工具与 Shell 工具共享同一个任务级沙箱策略解析器位于 apodex/sandbox.py共四种执行策略策略含义隔离级别bwrapbubblewrap jails工作目录可写、系统只读、$HOME其余部分完全不可见✅ 操作系统级containerCLI 整体运行在容器内macOS 的默认支持路径✅ 操作系统级nativeLinux 默认命令以当前用户运行运行时状态隔离在workspace/.apodex/runtime/native⚠️ 便利边界非 OS 沙箱host无命名空间命令直接在你的工作目录运行❌ 需显式选择 几个值得注意的设计细节路径一致性bwrap jails 把工作目录按原绝对路径映射模型内外看到的都是/home/me/repo/src/x.py这一个文件路径、traceback、diff 完全对得上排错体验不受隔离影响。绝不静默降级请求bwrap但主机缺少 user namespace 时会直接启动失败并给出明确诊断而不是悄悄换成无沙箱继续跑——因为静默降级沙箱是你开始相信一个不存在的边界的开始。host需要显式选择审批门覆盖不了你的整个文件系统所以这条路径永远不会被默认打开。沙箱层同时强制执行路径策略见 docs/framework.md/inputs是只读挂载/workspace是工作目录/outputs是唯一的持久化产出位置网络与路径策略都在命令执行前生效任何授权失败或沙箱故障一律 fail-closed。二、/revert 回滚给每次文件变更留一本快照账本再好的沙箱也拦不住在沙箱内改错。FrontierAgent 为此引入了WorkspaceJournal会话日志apodex/changes.py写工具第一次触碰某个文件时先快照其原始内容TUI 的 Diff 面板把整个会话的变更渲染成统一 diff新增行绿、删除行红秒级刷新输入/revert文档见 apodex/README.md所有可归因的改动即刻还原到会话初始状态。官方建议用delete_file而非bash rm删文件因为只有前者是一等公民、可被日志回滚的操作。️ 两个反直觉但很聪明的设计/revert故意不还原扫描发现的变更。非只读bash命令不声明写入目标框架会在命令执行前后各扫一次工作树做对比但扫描只能看出树变了看不出是谁改的——你自己的编辑器保存、watcher、shell 命令在同一时间窗内无法区分。盲目还原会毁掉本次会话根本没做的工作。因此这类文件在 Diff 中单独列出交由你自己判断详见 docs/tui-user-guide.zh-CN.md。快照有预算保护扫描按单文件 5MB / 单次 64MB 设预算二进制与超大文件直接跳过宁可少报也不产出错误的还原。日志还会持久化到磁盘会话中断后--resume续跑/revert依然可用。三、fail-closed 审批门不确定就默认拒绝工具调用的风险分级在 apodex/agent_tools.py共三级风险级别覆盖范围行为safe只读工具read / grep / glob / web 搜索与只读 bashls、git status等自动放行confirm写文件、删除、安装依赖、非只读命令弹出审批默认选中Nodeny工作目录之外写文件、rm -rf /类系统级危险命令硬性拒绝任何参数都无法绕过fail-closed 不是口号它落在三个关键节点上只读白名单 变异守卫命令被判为只读必须每一段/|/;切分都在白名单内且不含重定向、命令替换、后台执行与写操作动词只要存疑一律降级为confirm评估器异常即拒绝bash 风险评估函数本身抛异常时框架直接返回denycould not assess bash command safety绝不降级为 confirm路径校验 fail-closed路径解析出错或写操作路径为空一律按工作目录之外处理宁可误拒。⚠️破坏性操作要求打字确认匹配危险模式rm -rf、sudo、curl | bash、git push --force、依赖安装等完整清单见 agent_tools.py的命令不接受单键y必须完整输入yes。而硬性拒绝的命令无论是否开启-y自动批准都会执行拒绝。持久化权限规则apodex/permissions.py让审批门可用而不用全有或全无按A即可把总是允许npm test永远拒绝git push持久化到~/.config/apodex/permissions.jsonbash 规则按命令前缀匹配git、npm等保留两个词防止允许 npm test顺带放行npm publish且对整条/|/;链逐段检查fail-safe安全契约规则只能把 confirm降级为safe或强制deny且永远在硬性拒绝名单之后生效——一条保存的Bash(git)允许规则永远绿灯不了危险的git push --force。还有先读后改守卫apodex/fsguard.pyAgent 必须先read_file才能编辑文件且文件自读取后未被磁盘改动——同时挡住盲改没看过的文件与静默覆盖用户并发编辑两种真实事故。最后所有动作包括被拒绝的动作都会写入cwd/.apodex/runs/id/trace.jsonl为安全事件留下完整的本地审计轨迹。四、Agent Team 模式更多 Agent更紧的隔离Agent Team 模式下sub-agents 获得作用域隔离的工作区只共享经批准的/inputs与/outputs产出发布是 manifest 感知的——只有声明过的 publisher 才能写最终交付物。验证 Agent 团队会对相互冲突的报告做交叉校验形成隔离 校验的双重保险。日常安全操作速查表 场景该怎么做首次使用 / 不可信仓库选择bwrap或 Dockercontainer路径不用native/host想看清 Agent 要干什么再放行保持默认审批查看命令与 diff 后再按y信任某一类命令首次审批时按A持久化允许规则Agent 改坏了文件输入/revert一键回滚整个会话审计 Agent 今天做了什么用/log查看路径打开trace.jsonl发现安全漏洞邮件securityapodex.ai见 SECURITY.md勿开公开 issue写在最后FrontierAgent 的安全模型可以概括为一句话沙箱决定能在哪跑日志决定错了怎么撤审批门决定能不能跑三者共享 fail-closed 这一共同语言——隔离不可用、风险不可评估、路径不可验证时一律先拒绝再询问。如果你正在让 AI 智能体操作本地仓库这大概是最值得学习的安全素养。想动手试试克隆仓库开始git clone https://gitcode.com/gh_mirrors/fr/FrontierAgent更多细节参见 apodex/README.md 与 docs/tui-user-guide.zh-CN.md。【免费下载链接】FrontierAgent FrontierAgent, our agent framework, open-sourced alongside it — native command-line TUI, ReAct and Agent Team modes, one command on macOS and Linux, no preinstall, no hard Docker dependency.项目地址: https://gitcode.com/gh_mirrors/fr/FrontierAgent创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考