agent报“权限不足”是因未授权路径访问，需检查文件夹授权、权限组及agent专属访问范围，并通过图形界面或配置文件绑定专属权限组，启用路径预检强制校验。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
WorkBuddy多Agent协作时，某个Agent突然报“权限不足”或读取失败，往往不是模型出错，而是它被分配去处理一个根本没被授权的文件路径——比如A Agent负责分析合同，B Agent被编排去校验附件表格，但该Excel所在文件夹从未在授权列表中出现过。
确认每个Agent执行前的路径授权状态
Agent不继承主会话的全部授权，而是按自身运行上下文独立校验。进入「Claw设置」→「文件夹授权」，查看当前已启用的路径列表；注意这里显示的是全局授权，【不代表所有Agent都能用】。
点击右上角个人中心 →「切换权限组」，确认当前激活的权限组名称；若未手动切换，则默认使用“Default Group”，其白名单可能比全局授权窄得多。
打开任务编排界面（HyperFrames），选中任一Agent节点，在右侧属性面板中找到「访问范围」字段——这里会明确列出该Agent被显式赋予的输入/输出路径。如果为空，说明它只能访问默认组中已声明的路径，且不支持通配符自动扩展。
为不同Agent绑定专属权限组
方法一：图形界面配置
点击左下角 Settings 图标 →「Local Access Control」→「Manage Permission Groups」→「Create New Group」。
命名为Project-DataQA-Agent，仅添加该Agent需处理的两个路径：C:\Workspaces\DataQA\raw\ 和 C:\Workspaces\DataQA\output\；不要添加父级 C:\Workspaces\，否则违反最小必要原则。
保存后，在HyperFrames编辑页，选中对应Agent节点 → 右侧「权限组」下拉菜单中选择 Project-DataQA-Agent；此操作将覆盖默认组，且仅对该节点生效。
daily.dev 代理学习 – 通过订阅源持续自我提升。用于设置代理学习、运行学习循环、向所有者分享洞察或管理知识库。当请求涉及代理学习、知识构建、保持最新或“你学到了什么”时触发。
方法二：通过配置文件注入（适用于批量部署）
在项目根目录下创建 .workbuddy/agent-permissions.yml，内容如下：
agents: data_validator: permission_group: "Project-DataQA-Agent" report_generator: permission_group: "Project-Report-Output"
保存后重启WorkBuddy，该配置将自动加载并绑定到对应Agent实例。
在任务编排中强制校验路径合法性
第一步：打开HyperFrames工作流编辑器，点击顶部菜单「编排安全」→「启用路径预检」。
第二步：在任意Agent连线（即数据流箭头）上右键 →「设置路径约束」→ 输入目标文件路径，例如 C:\Workspaces\ContractReview\signed.pdf。
第三步：勾选「阻断未授权路径」，并点击「测试可达性」；系统将立即调用 isPathAuthorized() 函数验证该路径是否落在当前Agent所属权限组的白名单内。若返回 false，连线边缘将变为红色虚线，并提示「路径未授权，无法执行」。
这一步必须做——因为即使你给Agent绑定了权限组，若编排时硬编码了未授权路径（如写死 /tmp/temp.xlsx），WorkBuddy仍会在运行时拦截，但此时已进入执行阶段，错误反馈滞后且难定位。
