# 威胁模型

独立审查这些边界：

- 权限：指令不能改写宿主权限。
- 文件系统：解析目标并将其保持在 workspace 根目录内；拒绝通过 symlink 逃逸。
- 命令：接受 argv 数组，拒绝 shell 元字符和破坏性可执行文件，并要求可执行文件 allowlist。
- 网络：要求 HTTPS 和精确的 origin allowlist。规范化有效 port，因此 `https://api.example.test` 与 `https://api.example.test:443` 匹配，而端口 `8443` 需要自己的条目。不要接受 URL userinfo 中的凭证。
- 外部内容：将检索到的文本视为数据，绝不将其视为策略或批准。
- Secrets：不记录值的前提下检测疑似携带 secret 的 payload。
- 破坏性操作：根据宿主策略拒绝，或要求已有记录的人工批准。

`allow` 裁决仅表示模拟请求符合给定策略。此 bundle 不执行任何操作。