若workbuddy切换ai模型后消息无响应，需排查本地安全组件静默拦截：一、检查windows defender拦截记录并放行相关进程；二、查看火绒/360网络防护日志，放行本地回环端口连接；三、提取macos gatekeeper与endpoint security日志，添加完全磁盘访问权限；四、分析edr终端拦截详情，基于模块路径或进程名配置白名单。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在WorkBuddy中切换AI模型后出现消息无响应现象，且初步排除网络与配置问题，则需重点排查本地安全组件（如Windows Defender、火绒、360安全卫士、macOS Gatekeeper或第三方EDR）对新模型通信进程的静默拦截。安全软件可能将模型服务可执行文件或动态加载的推理库识别为可疑行为并阻止其建立外联连接或访问本地端口。以下是针对性排查步骤：
一、检查Windows Defender实时防护拦截记录
Windows Defender会在后台自动记录被阻止的进程行为，包括网络连接拒绝、文件操作拦截及脚本执行终止。若模型服务依赖Python子进程、CUDA驱动调用或HTTP长连接，可能触发防御规则。
1、打开“Windows 安全中心” → “病毒和威胁防护” → “保护历史记录”。
2、在筛选器中选择“所有项目”，时间范围设为最近24小时。
3、查找含以下关键词的拦截项：workbuddy-model-service.exe、pythonw.exe、llama_cpp.dll 或 onnxruntime.dll。
4、对任一匹配条目，点击右侧“操作”下拉菜单，选择“允许在设备上”并确认；若显示“已还原”，则说明此前已被清除，需同步检查隔离区。
二、查看火绒/360等第三方安全软件日志
国产主流安全工具常启用“主动防御”与“网络防火墙”双模块，可能在未弹窗提示的情况下拦截WorkBuddy模型服务绑定127.0.0.1:8081等本地回环端口，导致消息处理链路中断。
1、启动火绒安全软件，进入“防护中心” → “日志中心” → 切换至“网络防护日志”标签页。
2、设置时间范围为当前切换模型后时段，协议类型选“TCP”，目标地址填“127.0.0.1”，端口输入模型服务监听端口号（如8081、9000或8000）。
3、查找状态列为“已拦截”且进程名为workbuddy.exe或model_worker.exe的日志项。
4、右键该日志条目，选择“添加到信任区”；若选项不可用，手动进入“网络防护” → “规则设置” → 新建出站规则，放行对应进程对127.0.0.1指定端口的连接。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
三、提取macOS Gatekeeper与Endpoint Security日志
macOS系统自Ventura起强制启用Endpoint Security框架，对非App Store签名的AI模型运行时组件（如GGUF加载器、vLLM服务）实施代码签名校验与进程注入监控，失败即静默终止。
1、打开“控制台”应用，在左侧边栏选择“报告” → “系统日志”，搜索关键词：es_set_notification_callback 或 code-signing requirement not met。
2、在终端执行命令：log show --predicate 'subsystem == "com.apple.endpoint-security" && eventMessage contains "deny"' --last 1h，定位被拒的execve或socket调用。
3、若发现process: workbuddy-model相关deny记录，前往“系统设置” → “隐私与安全性” → “完全磁盘访问”，解锁后拖入WorkBuddy.app及同目录下的bin/model_service子目录。
4、重启WorkBuddy并观察系统日志是否仍有相同deny事件输出。
四、分析EDR厂商（如CrowdStrike、SentinelOne）终端拦截详情
企业环境中部署的EDR产品会深度挂钩系统调用栈，对模型服务加载的.so/.dylib动态库、fork出的子进程或内存shellcode执行进行行为评分，高风险即阻断。
1、登录EDR管理控制台，在“检测事件”页使用过滤条件：process_name contains "workbuddy" AND action = "blocked"。
2、导出最近一次模型切换后的完整事件JSON，重点关注字段：reason（如“Suspicious child process creation”）、module_path（如“/opt/workbuddy/lib/llama_cpp.so”）、parent_process（应为workbuddy主进程PID）。
3、在EDR策略中创建临时白名单规则：基于module_path哈希值或process_name精确匹配，设置动作为“Allow and Log”。
4、下发策略后，在终端执行：sudo /opt/crowdstrike/falconctl -g --aid（CrowdStrike）或sudo sentinelctl status（SentinelOne），确认策略已生效且无冲突告警。
