工具与命令审批模式
每个智能体都有独立的审批偏好。审批决定某次操作是否放行；执行方的工具授权、文件范围、拒绝规则和专用授权仍须满足。
v10.0.178+（无人委派读取直接上级审批设置）。更早的客户端仍可能读取执行方设置。
审批设置从谁读取
“有人值守”按运行入口和调用关系判断，表示本次运行可由用户参与，不是检测用户是否坐在屏幕前。前台展示不等于有人守着审批卡。
| 场景 | 设置来源 | 处理方式 |
|---|---|---|
| 有人值守，A 委派 B | B 原有设置 | 保持现状，需要人工时直接给用户 |
| 无人值守，A 委派 B | 直接上级 A | 采用 A 的模式和审批记忆规则，再按下表转换 |
| 多层 A → B → C，无人 | C 读取 B 的设置 | 不逐级请求 A，也不启动 B 的新对话 |
| 无人根任务，没有上级 | 原执行方 | 保持原无人审批行为 |
SendMessage 来信 | 原执行方 | 消息只传信息，不建立审批设置传递关系 |
| Worker 同步等待期间 | 按原值守判据 | 父运行可参与且持有同步等待时保留人工机会 |
| Worker 脱离为后台或父运行无人 | 直接调用方 | 按无人模式处理；Worker 既有执行身份不变 |
| 恢复原委派 | 保留原上级归属 | 按现有流程重新读取设置 |
| 新的人类对话轮次 | 当前执行方 | 清除旧委派来源 |
对于原本以目标智能体作为审批设置来源的跨智能体资源操作，有人或无上级时仍保留该原来源；只在真实无人委派中采用直接上级设置。
文件访问与审批独立设置
v10.0.178+（文件访问独立设置与工作区外只读）。
在聊天输入框的审批胶囊或资源面板中，可以一起快速选择审批模式和文件访问。智能体详情的审批选择器及配置表单也提供对应设置。文件访问默认“无限制”；已有受限配置保持受限，选择成功后在下一轮生效。
| 文件访问选项 | 工作区内读写 | 工作区外读取 | 文件工具工作区外写入 |
|---|---|---|---|
| 无限制（默认） | 允许 | 允许 | 允许 |
| 读写限工作区 | 允许 | 拒绝，已有只读授权除外 | 拒绝，旧显式目录引用的读写授权除外 |
| 工作区可读写、工作区外只读 | 允许 | 允许 | 拒绝；引用外部目录只增加读取权限 |
所有“允许”仍受敏感路径、平台资源授权、团队隔离和本次运行的权限上限约束。平台记忆等基础数据沿用原授权。工作区由已配置的工作目录决定；要通过文件工具修改外部项目，先把它明确加入工作区。
| 操作 | 新“工作区外只读”选项下的行为 | 审批 |
|---|---|---|
| 工作区内读取 | 允许 | 保持现状 |
| 工作区内写入、编辑 | 允许 | 继续按当前审批模式；可写不代表免审批 |
| 工作区外读取 | 允许普通文件，敏感路径继续保护 | 保持现状 |
| 文件工具工作区外写入 | 拒绝 | “全部放行”、AI 或人工批准均不能扩大文件范围 |
| Bash、PowerShell、终端及外部执行器 | 执行权限保持现状 | 命令规则、审批和管理员提权照旧 |
| 无人委派 | 使用执行方文件范围及本次权限上限 | 普通审批仍读取直接上级设置 |
文件访问选项控制文件工具，不提供命令进程的文件系统隔离。已批准的命令仍可能写到工作区外。临时 Worker 和已创建的后台任务保留原权限上限，不因选择新档位自动扩权。旧配置 restrictToWorkDirs=true 保持“读写限工作区”，省略/false 保持“无限制”；显式 file_security.accessMode 优先，七种审批模式及无人转换规则不变。
七种模式如何生效
下表用于普通工具与命令审批。记忆规则、命令白名单命中和原有免批操作先按各自规则处理。
| 配置模式 | 有人值守 | 无人值守 |
|---|---|---|
AI 审批 ai-approve（默认） | 保留真人抢先窗口；窗口后采用 AI 结论，AI 尚未返回则继续等待 | AI 有效结果到达即决定，无真人窗口 |
AI 自动 ai-auto | AI 有效结果到达即决定，此前用户可先行决定 | 按现有映射使用 AI 审批，无真人窗口 |
AI 辅助 ai-assist | AI 只给建议，等待用户决定 | 转为 AI 审批 |
每次确认 ask-always | 等待用户决定 | 转为 AI 审批，不因无人而永久等人 |
白名单 allow-listed | 命中规则放行，其余等待用户 | 命中规则放行，其余交 AI |
外部工具审批 ask-external | 内部操作按原规则放行；外部执行器等待用户 | 内部操作按原规则放行；外部执行器交 AI |
全部放行 allow-all | 豁免普通审批 | 豁免普通审批，不发起 AI 审批 |
“外部执行器”是 MCP、HTTP 和脚本类工具，不等于所有涉及互联网的操作。Shell 属于内置执行能力。明确拒绝、敏感路径、执行范围、工具可用性以及管理员提权等专用闸门不因 allow-all 消失。
AI 审批与用户决定
AI 审批的默认真人抢先窗口是 30 秒；它是用户决定窗口，不是等待 AI 的截止时间。窗口到期时 AI 仍在执行，系统会继续等实际结果。AI 明确不可用时按该模式的失败规则处理，不把缺少结果当作批准；ai-assist 的有人流程仍等待用户。
无人委派仅改变设置来源。AI 继续评估执行方的任务与真实副作用，执行身份、算力调用、超时规则和原审批结算流程不因来源改变而替换为上级。
审批卡可提供允许、拒绝以及可安全记忆时的“总是允许”。命令记忆按完整命令精确匹配；无人委派的审批记忆来自直接上级，执行方的允许记忆不能代替上级规则。记忆规则不扩大执行权限。
委派、权限和审计
审批卡和回执可以镜像到父会话；镜像仍是同一请求，不增加审批层级。多个面板、用户和 AI 的有效决定通过同一权威结算处理，重复或迟到决定不重复执行。
| 判断 | 由什么决定 |
|---|---|
| 能否执行 | 执行方的工具授权、文件范围、硬拒绝和本次调用已有边界 |
| 普通审批是否放行 | 上表选择的设置来源、规则及有效模式 |
| 谁执行、谁承担副作用 | 原执行方，来源变化不替换身份 |
记录区分执行方、审批设置来源以及用户/AI/中止等决策来源。凭据可见性、去向和条目拒绝仍先检查；allow-all 下的本次批准不写永久凭据授权。