任务边界：哪些权限别给它

自动档只是少问您几次，不保证安全。它适合您认可大方向的活，不能拿来替代对敏感操作的复核。

「自动模式减少权限询问，但不保证安全。把它用于你信任其大方向的任务，而不是用来替代对敏感操作的复核。」

对您意味着：默认就是这一档。也就是说，您什么都不设的时候，跑的正是官方说「不保证安全」的那一档。

这一档只能在容器、虚拟机这类隔离环境里用，而且要断网 —— 要保证它伤不到您的主机。

「只在隔离环境中使用此模式，例如容器、虚拟机或无网络访问的开发容器，在这些环境中 Claude Code 无法损害你的主机系统。」

对您意味着：「图省事关掉所有确认」和「官方设想的用法」之间差着一整台隔离机器。

您口头交代的边界不会被存成规则。每次检查时，它都是从对话记录里重新读一遍的 ——一旦对话太长被压缩、那句话被删掉，这条边界就没了。要硬保证，得写成拒绝规则。

「边界不会被存储为规则。分类器在每次检查时从对话记录中重新读取它们，因此如果上下文压缩移除了陈述该边界的那条消息，这条边界就可能丢失。若要硬性保证，请改为添加一条拒绝规则。」

对您意味着：这条把两件事接上了：聊得越久越糊涂，不只是答得差，连您早先立的规矩都会消失。重要的禁止项要写进配置，不要只在对话里说一句。

关掉文件隔离、又让命令自动放行之后，沙箱里的命令可以写一些文件（比如启动脚本、可执行文件、它自己的配置），下一轮再读回来 —— 等于自己给自己扩权。

「在关闭文件系统隔离且命令被自动放行的情况下，沙箱内的一条命令可以写入之后的命令会运行或读取的文件，例如 shell 启动文件、$PATH 上的可执行文件，或 ~/.claude/settings.json，并利用它们在下一次运行时扩大自身的访问权限。」

对您意味着：「关掉隔离图快」不是省一步，是把一次性风险变成会累积的风险。

默认配置仍然允许它读云平台凭证和 SSH 私钥所在的目录。要挡住得自己去配。

「请注意，此默认设置仍然允许读取凭证文件，例如 ~/.aws/credentials 和 ~/.ssh/。使用 sandbox.credentials 来阻止读取这些文件并清除机密环境变量，或者把这些路径加入 denyRead。」

对您意味着：这条最该现在就去改。装完先把凭证目录加进禁读名单，比事后追查省事得多。

内置代理只按域名放行，默认不解密、不检查加密流量的内容。

「内置代理基于请求的主机名执行白名单，并且默认不终止或检查 TLS 流量。」

对您意味着：域名白名单挡的是「去哪儿」，挡不住「带走了什么」。

在容器里用最宽那一档跑，一个有恶意的项目能把容器里的任何东西带走 —— 包括 Codex 自己的凭证。官方要求只对可信仓库用，并且要像对待任何高权限环境一样盯着它。

「如果你在容器内以 --sandbox danger-full-access 运行 Codex，一个恶意项目可以外传开发容器内可获取的任何东西，包括 Codex 的凭证。仅对可信的仓库使用这一方式，并像在任何其他高权限环境中一样监控 Codex 的活动。」

对您意味着：「反正在容器里」不构成放开权限的理由 —— 容器里也有值钱的东西。

自动复核不是安全边界。做判断的分类器会犯错：可能放行您本想拦下的，也可能拦下您本想放行的。

「自动复核不是一道安全边界。分类器会出错。它可能放行一个你本会阻止的调用，也可能阻止一个你本会放行的调用。」

对您意味着：替您把关的是另一个 AI，不是一条规则 —— 而厂商自己写明了它会错。