workbuddy 通过本地沙箱执行、零信任链路、权限边界配置和第三方技能管控实现安全与便利统一：所有指令在隔离容器中运行，敏感操作需确认，高危命令云端拦截，微信指令经ioa网关与lighthouse校验，操作限于指定工作目录与手动启用的skill，非官方技能可能绕过防护。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
WorkBuddy 不是在“安全”和“便利”之间做取舍，而是用机制把两者绑在一起——便利操作必须经过安全关卡，安全限制又不靠手动设防火墙来实现。
本地沙箱执行：所有指令都在隔离环境里跑
WorkBuddy 从不直接调用 os.system 或 subprocess.run 这类系统级命令。它把每个任务（比如“重命名文件”“读 Excel”）封装进 PC 管家内置的轻量沙箱容器中运行，该容器默认禁止访问 C:\Windows、C:\Users\Public、注册表、剪贴板历史等敏感路径与接口。
- 你发“删掉桌面所有 .tmp 文件”，它会先列出匹配项，再弹出确认框，不会跳过这步直接执行
- 若指令含
rm -rf、format、shutdown等高危关键词，Lighthouse 安全中台会在云端直接拦截，连信令都不会下发到本地 - 沙箱内调用的 Python 解释器是精简版，移除了
ctypes、winreg等可穿透隔离的模块
微信直连背后的零信任链路
表面上你在微信里打字发指令，实际背后走的是腾讯自研的 iOA 零信任网关 + Lighthouse 语义校验双层通道，不是传统意义上的“微信机器人”。
- 每条微信消息到达后，先由 Lighthouse 做意图解析：识别是否为真实办公指令（如“汇总日报”），还是模糊试探（如“你能看到我电脑里有什么吗？”）
- 校验通过的指令才加密封装成 MCP 协议信令，且只允许投递到已绑定设备的指定 Skill 实例，不存在“一指令控多机”的情况
- 断网重连时，不会自动恢复未完成任务，必须人工在微信里重新触发，避免后台静默执行
权限边界由配置而非代码控制
你不需要改配置文件或写策略规则，WorkBuddy 的操作范围是靠“工作文件夹”和“Skill 白名单”两个开关硬性划定的。
- 首次启动时强制选择一个根目录（如
D:\Work），之后所有文件类操作默认只在这个目录及其子目录下进行 - Skills（技能包）默认禁用，必须在设置页手动启用，例如
excel-skill和pdf-converter是分开开关，不用就关掉 - 即使启用了
web-scraper，它也无法保存截图或上传原始 HTML 到云端——脱敏引擎会在本地自动过滤掉手机号、身份证号等字段后再参与后续处理
真正容易被忽略的点是：安全机制只对“标准 Skill”生效。如果你导入了第三方非官方 Skills（尤其是套壳 OpenClaw 的包），它们可能绕过沙箱或权限校验。所以别图省事点“一键导入全部”，启用前务必看清楚来源签名和权限声明。
