agent-Specialization

JOJO/agent-Specialization

Fork 0

Commit Graph

Author	SHA1	Message	Date
JOJO	b55f4a811d	feat(security): 终端读写身份创建时钉死，权限跨界切换销毁重建 - 宿主机持久终端支持只读身份：build_host_sandbox_shell_plan 三平台（macOS Seatbelt 只读 profile / Linux ro-bind / Windows WSL 只读挂载）统一 readonly 参数；macOS 只读 profile 抽为 _macos_readonly_profile_for_workspace 与只读 run_command 共用 - docker_terminal_readonly_enabled 泛化为 terminal_readonly_enabled（docker uid 与宿主机沙箱同一判定：非 unrestricted 即只读身份） - 权限跨界切换（受限档⇄unrestricted）销毁现有终端会话（close_all），受限档内部互切不销毁；与执行环境切换销毁策略一致 - terminal_input 工具层全面放开：只读白名单加入、审批集合移除、approval/auto_approval 命令文本分流删除；受限档终端内写入由系统 EPERM 兜底，审批写入走 run_command 两段式	2026-08-30 23:06:33 +08:00
JOJO	8257e4d34d	feat(security): 沙箱只读真强制与权限模式边界收敛 - docker：只读/审批档 run_command、后台命令与持久终端改用非特权 uid(10001) 执行角色，内核 DAC 强制只读，取代文本特征识别；Dockerfile 加固（agent 用户 / git safe.directory / 去 setuid） - macOS：只读与可写沙箱 profile 统一为白名单读模型（deny default + 系统目录/工作区/路径授权），修复 deny 顺序导致的工作区 .env 实际可读漏洞；可写 profile 白名单化后审批不再放大读取，越界读取唯一途径为路径授权 - 权限模式：受限档（readonly/approval/auto_approval）与 direct 执行环境硬互斥——进入受限档压回沙箱并记录，切回 unrestricted 恢复，存量受限+direct 对话加载自愈矫正 - 配置：路径授权来源收敛为 host_sandbox_policy.json + 环境变量两个通道（移除 settings.json 映射） - 修复：新建对话权限模式被个性化默认值覆盖、/new 切只读后回落无限制的继承 bug - 原生文件工具读边界与沙箱白名单同源对齐	2026-08-30 22:07:14 +08:00
JOJO	10654c407d	release: sync from main @0f9fd1b2 (2026-08-22)	2026-08-22 12:27:19 +08:00

Author

SHA1

Message

Date

JOJO

b55f4a811d

feat(security): 终端读写身份创建时钉死，权限跨界切换销毁重建

- 宿主机持久终端支持只读身份：build_host_sandbox_shell_plan 三平台（macOS Seatbelt 只读 profile / Linux ro-bind / Windows WSL 只读挂载）统一 readonly 参数；macOS 只读 profile 抽为 _macos_readonly_profile_for_workspace 与只读 run_command 共用
- docker_terminal_readonly_enabled 泛化为 terminal_readonly_enabled（docker uid 与宿主机沙箱同一判定：非 unrestricted 即只读身份）
- 权限跨界切换（受限档⇄unrestricted）销毁现有终端会话（close_all），受限档内部互切不销毁；与执行环境切换销毁策略一致
- terminal_input 工具层全面放开：只读白名单加入、审批集合移除、approval/auto_approval 命令文本分流删除；受限档终端内写入由系统 EPERM 兜底，审批写入走 run_command 两段式

2026-08-30 23:06:33 +08:00

JOJO

8257e4d34d

feat(security): 沙箱只读真强制与权限模式边界收敛

- docker：只读/审批档 run_command、后台命令与持久终端改用非特权 uid(10001) 执行角色，内核 DAC 强制只读，取代文本特征识别；Dockerfile 加固（agent 用户 / git safe.directory / 去 setuid）
- macOS：只读与可写沙箱 profile 统一为白名单读模型（deny default + 系统目录/工作区/路径授权），修复 deny 顺序导致的工作区 .env 实际可读漏洞；可写 profile 白名单化后审批不再放大读取，越界读取唯一途径为路径授权
- 权限模式：受限档（readonly/approval/auto_approval）与 direct 执行环境硬互斥——进入受限档压回沙箱并记录，切回 unrestricted 恢复，存量受限+direct 对话加载自愈矫正
- 配置：路径授权来源收敛为 host_sandbox_policy.json + 环境变量两个通道（移除 settings.json 映射）
- 修复：新建对话权限模式被个性化默认值覆盖、/new 切只读后回落无限制的继承 bug
- 原生文件工具读边界与沙箱白名单同源对齐

2026-08-30 22:07:14 +08:00

JOJO

10654c407d

release: sync from main @0f9fd1b2 (2026-08-22)

2026-08-22 12:27:19 +08:00

3 Commits