【免费下载链接】thClawsOpen-source AI agent harness in native Rust — GUI, CLI, headless, and webapp from one binary. Multi-provider, MCP, skills, plugins, agent teams.项目地址https://gitcode.com/gh_mirrors/th/thClaws点击查看免费下载thClaws 是一个用 Rust 编写的开源 AI Agent 框架GUI、CLI、无头模式共用同一个二进制文件。当 Agent 开始替你改文件、跑命令、访问网络时安全就成了绕不开的话题。thClaws 权限体系通过审批门、文件系统沙箱、操作系统级 Bash 沙箱三道相互独立的防线外加组织策略层兜底让 AI Agent 能力再强也不会失控——本文带你一次看懂这套安全设计以及如何在几分钟内完成配置。为什么 AI Agent 需要权限体系AI Agent 和普通的聊天机器人有本质区别它能真的动手。thClaws 的 Agent 可以编辑、创建、删除项目里的文件执行任意 shell 命令npm install、git push、curl ...访问外部 URL、调用 MCP 服务器启动子进程。能力越大风险越大。如果模型产生幻觉或被人诱导一条rm -rf就可能是灾难。thClaws 的思路不是把功能砍掉而是给每类操作设计独立生效、互不覆盖的防线绕过任何一道另外几道照样拦截。核心实现分别在 crates/core/src/permissions.rs、crates/core/src/sandbox.rs 和 crates/core/src/confine.rs。三道防线总览各司其职独立生效防线回答的问题源码位置① 审批门Approval Gate该不该现在执行这个工具permissions.rs② 文件系统沙箱这个路径是否在当前项目内sandbox.rs③ OS 级 Bash 沙箱这个进程能写哪些文件confine.rs④ 组织策略层可选管理员批准了这个插件/技能来源吗crates/core/src/policy/四层的失败即拒绝fail-closed原则意味着你在auto模式下选了全自动也照样写不了/etc/passwd文件系统沙箱拦截沙箱再宽松装不了策略文件里没批准主机的技能策略层拦截。这正是纵深防御在 AI Agent 权限管理里的落地。第一道防线权限模式与审批弹窗thClaws 定义了三种基础权限模式PermissionMode模式行为适合场景auto所有工具自动执行全程不打断信任任务 / CI 流水线ask默认改文件、跑命令前先弹窗审批只读操作直接放行日常开发plan禁止一切修改操作只允许读代码、查文件先摸清代码库再动手在ask模式下只读工具Read、Grep、Glob、Ls 等永远免费放行而修改类工具Write、Edit、Bash、WebFetch 以及所有 MCP 工具每次都会弹出审批框弹窗提供三个选项Allow仅本次、Allow for session本会话内全部放行CLI 里对应输入yolo、Deny拒绝。注意yolo只跳过审批提示不会关闭沙箱——写项目外的文件依然会被第二道防线拦下。切换模式非常简单终端输入斜杠命令即可❯ /permissions ask permissions: ask (auto never prompt, ask prompt on mutating tools)此外还有plan模式的特殊保护计划提交后Agent 不能自己推进步骤或擅自退出计划模式必须等人在侧边栏点 Approve / Cancel——防止模型把一句随口开始吧当成批准就动手改文件。详见 user-manual/ch18-plan-mode.md。第二道防线文件系统沙箱管住每一次文件读写审批门管要不要执行文件系统沙箱管能碰到哪里。所有文件类工具Read / Write / Edit / Ls / Glob / Grep在执行前都会调用 Sandbox::check 或 Sandbox::check_write把路径钉死在你打开的项目根目录里。它的验证算法有三重技巧先做词法归一化在访问磁盘之前先解析..和.防止projects/../outside.txt这种父目录在项目内、终点在项目外的穿墙路径canonicalize 跟随符号链接哪怕/tmp里放了一个指向别处的软链也会被识破保护内部目录写入.thclaws/存放团队状态、设置、收件箱会被 enforce_write_policy 直接拒绝——Agent 不能改写自己的档案室。这层沙箱独立于权限模式生效是yolo模式没那么吓人的根本原因即使会话内全放行Write(/etc/passwd)依然过不了这一关。想让 Agent 碰项目外的文件从父目录启动 thClaws 即可扩大沙箱边界。第三道防线操作系统级 Bash 沙箱内核说了算文件工具被沙箱管住了那Bash命令呢echo x ~/secret用的是绝对路径文件系统沙箱管不到用检查命令字符串的钩子也没用——$(printf rm) -rf ~/这类混淆写法能让任何字符串匹配形同虚设。所以 thClaws 选择了让操作系统本身来强制执行边界crates/core/src/confine.rs平台机制macOSsandbox-execSeatbeltLinuxLandlock无需 user namespace 的 LSM不可用时回退bubblewrap模式可写范围说明workspace默认工作区 /tmp 包管理器缓存~/.npm、~/.cargo…日常开发pip/npm/cargo照常工作strict仅工作区 /tmp跑不可信代码off全部明确放弃限制两个值得记住的安全细节秘密文件禁读~/.ssh、~/.aws、~/.config/thclaws等凭据目录在受限模式下禁止读取。尤其是~/.config/thclaws——它存着 Agent 自己的 API KeyAgent 跑的命令不能读到 Agent 依赖的钥匙报告如实审计记录里同时写明mode和enforced两个字段。如果宿主机缺少 Landlock 等机制thClaws 会打印醒目的警告并降级为无限制运行绝不悄悄谎报enforced: false会如实记录方便审计者判断防线是否真正生效。该沙箱对 Bash 派生的所有子进程含子 Agent 和 workflow shell同样生效因为规则在安装exec之前就绑定到进程上。隐藏的第 N 道MCP 命令白名单与危险命令提醒除了三道主防线thClaws 还在几个容易被忽视的入口加了锁MCP stdio 首次启动审批MCP 服务器配置可能来自克隆的第三方仓库command字段指向任意二进制。因此每个 MCP stdio 命令第一次启动时都会弹窗确认批准后记入白名单文件~/.config/thclaws/mcp_allowlist.json之后不再打扰。无 TTY 的无头环境默认直接失败除非你在可信环境显式设置THCLAWS_MCP_ALLOW_ALL1。⚠️危险命令标记rm -rf、sudo、curl ... | sh、dd、mkfs等 80 多种破坏性模式会被标记黄色⚠提醒你在批准前多看一眼。团队模式硬拦截在 Agent Team 中lead协调者的 lead_forbidden_command 会直接阻断git reset --hard、rm -rf、git push --force等曾误伤队友工作区的命令——提示词约束只是君子协定这是安全带。实战配置最常用的三种权限策略方式一会话内临时切换不写盘重启失效❯ /permissions auto ❯ /permissions ask方式二项目级持久化配置编辑.thclaws/settings.json{ permissions: auto, allowedTools: [Read, Write, Edit, Bash], disallowedTools: [WebFetch] }也支持细粒度写法allow: [Bash(git *)]表示只放行 git 命令deny列表中的工具在任何模式下包括yolo都被硬拦截。方式三单次运行用 CLI 参数仅覆盖当前进程thclaws --cli --permission-mode ask想调整 Bash 沙箱边界时在settings.json增加{ bash: { sandbox: workspace, sandbox_write_paths: [/some/extra/dir], sandbox_deny_read: [~/secret-notes] } }合法命令需要写到工作区之外时优先追加sandbox_write_paths而不是把整个沙箱关掉。总结防线的意义不是越严越好而是各管一段你想保护什么靠哪层不想要偷偷执行审批门ask 模式文件工具不越出项目文件系统沙箱shell 命令写不了系统目录OS 级 Bash 沙箱凭据不被 Agent 的命令读到沙箱禁读列表第三方插件/MCP 不受控MCP 白名单 组织策略层thClaws 的权限设计给所有做 AI Agent 产品的团队一个清晰的参考审批管意图沙箱管路径内核管进程策略管来源——四层问答互不替代任何一层被绕过其余各层依然独立兜底。更多细节可查阅官方技术文档 thclaws-technical-manual/permissions.md 与 thclaws-technical-manual/confinement.md面向用户的完整说明见 user-manual/ch05-permissions.md。赞分享【免费下载链接】thClawsOpen-source AI agent harness in native Rust — GUI, CLI, headless, and webapp from one binary. Multi-provider, MCP, skills, plugins, agent teams.项目地址https://gitcode.com/gh_mirrors/th/thClaws点击查看免费下载相关推荐AI Agent 工具沙箱与权限控制Tool Sandboxing Permissioning实战指南AI Agent 工具沙箱与权限控制Tool Sandboxing Permissioning实战指南 本文以 developer roadmap 仓库文档教程知识库Windows 11 精简完整指南Win11Debloat 5 分钟移除 80 预装应用并关闭遥测Windows 11 精简完整指南Win11Debloat 5 分钟移除 80 预装应用并关闭遥测 你是不是也有过这种体验电脑买回来时还算流畅用了几个月桌面应用CLIMunder Difflin 安全运行指南AI Agent 权限模式、工作区沙箱与防御纵深Munder Difflin 安全运行指南AI Agent 权限模式、工作区沙箱与防御纵深 自主 AI 编码 Agent 被设计为行动而不逐条征求同意——人工智能AI Agent多智能体Agent 编排代码智能体桌面应用创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考