本机桥接仅监听 127.0.0.1，只受理发往本机地址的请求（防 DNS 重绑定），别的网站连模型转发也借不了道；指令逐条可见，权限分问而后行 / 审而后行 / 径行三档，默认逐条请示；默认套着沙箱（问而后行里从严、拦下的转为请示，审而后行与径行只守系统本身）；导出的备份不含 API Key
指令有三档权限，言与行都可在输入框旁循环切换，欢迎页小签与「设置 → 工具」决定新对话默认。
- 问而后行：明确只读的开发与系统检查径直执行（允许 Select / Sort / Format / JSON 等纯展示管道），其余从输入框上方浮出「请示」，可运行、跳过或径行。
- 审而后行：不弹请求，由桥接代审。常规开发、依赖安装、Git（含回退与清理）、联网、进程、整机查看、写到工作目录之外一概放行，只把提权、账户 / 服务 / 防火墙 / 安全设置、磁盘与启动配置、藏字的指令、整目录删除、往 Windows / Program Files 这类系统目录里写等明确会伤及系统或难以恢复的动作当场回绝。「设置 → 专司」里开了审查，规则标疑的那一步（上面会被回绝的指令，外发时网址里带着一长串用户没给过的参数或带着内容 POST 出去，往 Skill 目录里写，MCP 的写操作——游目的浏览器只审跳到带长参数的网址、往网页里填进一段你没说过的字、上传文件与在网页里跑代码，点击、按键、翻页不审）改交另配的审查模型照你的原话再判：它只看你说过的话、意里的目标与守、将要做的那一步，不看网页与文件的内容，也不看主模型怎么说；准了照做，驳了把理由交回主模型叫它换条路，仍不弹请示，一答里连驳三回或共驳二十回即叫它停手向你说明；审查连不上就退回规则。有三样审查准了也不放行，是底线：碰存储根里的配置、备份与登录文件，指令调言自己的桥接（它的接口不经请示与沙箱），藏字或动态拼接的指令（审查看不见它实际要跑什么）。
- 径行：不再加这层审查。
三档由严到宽：径行 ≥ 审而后行 ≥ 问而后行，沙箱也按档位分严宽（见下）；唯一的例外是开了审查的审而后行——系统级的动作经审查准了可以做，径行不审，开着沙箱时这些就一概不做，那是不问不审时最基础的防护。文件工具经本机桥接执行。
言与行的指令与文件工具都套着一层沙箱，在桥接那头守、模型绕不过；它是常开的一层，只在「设置 → 工具」有一个总开关。沙箱按指令权限分两档。
宽的一档给审而后行与径行，只守系统本身：注册表、服务、计划任务、防火墙、账户、磁盘、提权、执行策略、藏字的指令与别名、往 Windows / Program Files 这类系统目录里写；联网、写到目录之外、读 .env、改 .git 内部都放行，文件工具按「可及范围」走。
严的一档给问而后行，下面三道。严的沙箱会拦下的指令不直接回绝，而是照样浮出请示、写明它会被拦的原因，批了这一条就在沙箱外执行，步骤上记一笔「出沙箱」。
- 目录：改动不出工作目录或卷宗（写、删、搬与重定向都不用
..上溯、~、$env:USERPROFILE与目录外的绝对路径），查看则可及整台机器——给电脑做检查本就要翻系统目录、注册表、进程与日志，锁住读等于把这件事堵死。文件工具那一路仍是目录内，不认「全盘」；.env、密钥与凭据文件读写皆拒，.git内部不写，检索也不翻机密文件。 - 指令：动系统的（注册表、服务、计划任务、防火墙、账户、磁盘、关机、提权、执行策略）、藏字的（编码指令、
Invoke-Expression、拼出来的命令名）、直接外联的（curl/iwr/wget，指向本机 127.0.0.1 的放行）一律拒绝，装依赖走包管理器、查资料用检索工具。 - 环境：指令看不到名字像机密的环境变量（KEY / TOKEN / SECRET / PASSWORD……）。
宽档拒下的指令带一句原因回给模型，照原因改写即可。外联只认真在联网的写法（[System.Net.…]、New-Object Net.…），rg HttpClient 这类只是搜字的不算。
另有一道不随档位、也不随沙箱开关：存储根里的 配置.json（内有 API Key）、配置备份/ 与 ChatGPT 登录.json，文件工具、检索与指令一概不碰——模型读得到它们，就可能被网页或文档里的一句话骗去把 Key 拼进网址发走；写得到，就能自己关掉沙箱、改预设。要改设置在设置里改。只认桥接此刻的存储根，别处同名的文件不受牵连。
这是静态筛查，不是进程隔离：脚本里的代码仍以你的权限运行（node -e、python -c 或一个脚本文件里写什么都不经筛查；放进变量再调用的 & $exe 也追不到变量里；在脚本里临时拼出桥接地址也能调到桥接的接口——这并不比脚本本身多出什么权限，所以桥接端口那一条只拦直接点名的写法），Start-Process 起的进程会脱离进程树，停止生成与超时都收不回它。判定「这条会不会改东西」靠的是一张动词表（Set-Content、Remove-Item、copy、move、md、重定向……），表外的写法漏过去就只剩三档权限那一层兜着。
三档权限与沙箱彼此独立；关掉沙箱后，审而后行仍会回绝它认定的伤及系统的动作，只有径行不再加这一层，文件工具在这两档都只按「可及范围」设置。
前台指令等满 timeout（默认 120 秒，至多 600 秒）不掐，转入后台接着跑、结束时叫醒模型（见言与行 · 执事）；要收回用「停止」。
查看放开到整机之后，工作目录之外的普通文件（浏览器数据、聊天记录之类）也在模型读得到的范围内——只有 .env、密钥与凭据这类按名字认得出的另有专条。请勿将工作目录指向不希望被改动的位置。
「设置 → 工具」一栏专管模型能动手的边界：沙箱、新对话的三档指令权限、文件工具可及范围、卷宗对模型可读、工具轮次上限（按轮计，同一轮并发的几次调用只算一轮；留空即不限）。