一、背景：三种「跑不通」被混在一起，才是真正的坑

把桌面 Agent 拉进真实工作流之后，最耗时间的不是模型选错工具，而是这条命令为什么不执行。报错信息长得都很像，但来源完全不同：

三者的报错文案风格接近，成因、能不能放行、放行要找谁，全都不一样。把它们都当成「沙箱拦的」，就会得出错误结论，然后反复改配置改到崩溃。

这篇是我在自己机器上跑出来的一份实测记录：先确认沙箱到底有没有生效，再一层一层触发拦截，把每条报错归到正确的层，最后给出配置层能做的放行方式和真正提权场景的处理姿势。环境细节都对不上也没关系，方法可以直接搬。

实测环境（写清楚是为了让你能判断哪些结论可以迁移）：

三个可观测入口，按可靠性排序：

审计日志 > 结合 stderr 的完整回显 > 文档

官方文档主体描述的是 CLI 形态（

 这些字段），桌面版把一部分能力搬进了 Security Center 的图形界面，字段名和 UI 文案不完全一一对应。所以下面凡是涉及「你的机器上有没有这一项」，我都标了需要按你的环境调整——照抄文档字段然后发现它不生效，是这类问题里最常见的浪费。

三、分步操作：先证明沙箱活着，再谈边界

Step 1 确认这次命令是不是在沙箱里跑的

这一步最容易被跳过，但没有它，后面所有实测结论都可能是错的。

我第一轮测试直接看到这样的结果：写 

 返回 200。按文档，沙箱默认只允许写当前工作目录，那这些应该失败。差点就得出「沙箱没生效」的结论。

翻到工具回显的最后一行才看到关键信息：

⚠️ Sandbox bypassed (escalation-approved) — this command ran with no sandbox isolation.

（沙箱外执行，且已经过审批放行）。旁路态下测出来的文件边界、网络边界，全部不能代表沙箱开启时的行为。

每条命令执行完，先扫一眼回显尾部有没有这行 bypass 提示

。有，你测的是宿主环境；没有，你测的才是沙箱。文档里说的逃生舱（

）就是这个机制的入口，桌面版可能在会话启动或历史审批里已经处于放行状态。

实测下来，拦截点可以稳定地分成五层，从上到下：

后面每一条报错，都要能指到上面某一层。指不到层，就说明还没查清。

——在 Bash 里拼一段 PowerShell：

powershell -NoProfile -Command "Get-Date"

Command blocked for security: Invoking PowerShell from Bash bypasses PowerShell security checks; use the PowerShell tool instead

，不是沙箱在 OS 层拦的。正确做法就是用 PowerShell 工具，不要在 bash 里拼 

——我一次性探了六个系统管理命令，stdout 和 stderr 分开看：

t(){ echo "### $1"; ( eval "$1" ) 2>&1; }
t "schtasks /query /fo csv | head -2"
t "wmic os get caption"
t "sc query type= service state= all"
t "reg query HKCU\\Environment /v PATH"
t "net user"
t "diskpart /?"

stdout 那侧只给了四行很不起眼的输出：

bash: line 10: /c/Windows/system32/schtasks: Permission denied
bash: line 10: /c/Windows/System32/Wbem/wmic: Permission denied
bash: line 10: /c/Windows/system32/sc: Permission denied
bash: line 10: /c/Windows/system32/reg: Permission denied

PROGRAM BLOCKED BY SECURITY POLICY - The sandbox prevented a program on the configured Program Blacklist from starting:
  - schtasks.exe (C:\Windows\system32\schtasks.exe)
  - wmic.exe (C:\Windows\System32\Wbem\wmic.exe)
  - sc.exe (C:\Windows\system32\sc.exe)
  - reg.exe (C:\Windows\system32\reg.exe)
This block cannot be approved or bypassed from the current command. Do NOT retry this program, launch it through another shell or script, or attempt an equivalent workaround.
If the user wants to allow this program, they must remove it from Security Center -> Command Security -> Program Blacklist.

——直接读配置结构，比猜快：

python -c "
import json
d=json.load(open(r'C:/Users/<你>/.workbuddy/settings.json',encoding='utf-8'))
sb=d.get('sandbox',{})
print('keys:', list(sb.keys()))
for r in sb['orderedRules']['file']['rules'][:6]:
    print(r['path'], r['read'], r['write'], r['delete'])
print('network:', sb.get('network'))
"

keys: ['extraAllowWrite', 'orderedRules', 'networkDenyAllMigrated']
~/.ssh/   ask   ask   ask
~/.aws/   allow ask   ask
~/.workbuddy/settings.json   allow ask   ask
.         allow allow allow
network: {}

mkdir -p ./sbx_probe && cd ./sbx_probe
echo a > a.txt; echo b > b.txt
rm -v a.txt          # 无任何输出
for i in $(seq 1 55); do echo x > "f$i.txt"; done
rm -f f*.txt         # 静默成功

 一个字都不打印（shim 吞了 verbose），但文件确实没了。翻 shim 实现能看到 

 的批量阈值，超过就先过一道 guard 再决定。

；第二，删除是可恢复的，这对误删场景是好事，但也意味着「删了 20G 清磁盘」这种需求不会真的释放空间。

回显只能看到当前那条命令，历史归因要靠日志：

python -c "
import json,collections
p=r'C:/Users/<你>/.workbuddy/audit-log/2026-11-08.jsonl'
c=collections.Counter()
for line in open(p,encoding='utf-8'):
    if line.strip():
        d=json.loads(line); c[(d['eventType'],d['decision'])]+=1
for k,v in c.most_common(): print(v,k)
"

74 ('command-safety.sandbox-executed', 'allowed')
20 ('file-safety.allow-listed', 'allowed')
 1 ('command-safety.program-blacklist-blocked', 'blocked')

 三个字段——日志是哈希链的，能校验有没有被篡改。

事件类型命名本身就是分层证据：

 前缀，直接定位到层，不用再猜。

能放行的只有配置层，写法如下（

 在某些桌面版里由界面开关控制而不是文件字段，

，别假设写进去就一定被读到。

 在权限判定之前跑，可以用退出码 2 硬拦：

策略脚本示例（按需替换判据，路径和解释器要按你的环境调整）：

#!/bin/bash
# 从 stdin 读工具入参，命中规则就 exit 2 并回一段说明
payload=$(cat)
if echo "$payload" | grep -qE '"(schtasks|wmic|reg|sc)\b'; then
  echo "拒绝：系统管理类程序不在本项目允许范围内，请先申请白名单。" >&2
  exit 2
fi
exit 0

 的 stderr 会回给模型，等于给 Agent 一句人话解释；

 放行。注意 hook 拦的是「工具调用」，不改变 OS 层黑名单，两套是叠加关系。

 这一行，决定了你测的是宿主还是沙箱。旁路态下的结论全部作废。

 的三元组；删除看回收站。指不到层的报错，说明还没查完。

 hook——这四条是官方留的正门。程序黑名单的硬拦截和删除代理不在可绕范围，硬绕就是逃逸，代价远大于收益。

四、提权场景交给人和配置，不交给命令。

 需要管理员权限的事（装服务、改计划任务、动注册表）在 Agent 会话里本来就不该发生。正确姿势是：机器上预先配好 → 用只读方式取结果 → 需要变更时由人执行、把输出贴回来。真要放宽边界，走 Security Center 白名单和 

 这类显式开关，并让审计日志留痕——

 那条链就是给你事后核查用的。

沙箱的价值不是「什么都拦住」，而是把「能不能做」变成一件可枚举、可审计、可回滚的事。按层去理解它，配置摩擦会少一大半。

摘要：沙箱拦截分工具层、程序黑名单、文件规则三层；先判沙箱态再按层取证；提权只走配置与审批，不换壳重试。

WorkBuddy 沙箱与权限：哪些操作会被拦，怎么绕

开发工具

安全

操作系统

本文实测Windows下WorkBuddy桌面Agent沙箱的拦截机制，区分工具桥接、程序黑名单、文件规则等五层报错。提供审计日志取证方法、配置放行方案及提权处理原则，帮助开发者快速定位命令被拦原因，避免误判沙箱失效。

文件系统

解释器

WorkBuddy 

Windows

Docker

Python

Agent

JSON

WorkBuddy企业版限时双倍 Credits 活动

workbuddy

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

WorkBuddy 沙箱与权限：哪些操作会被拦，怎么绕

WorkBuddy 沙箱与权限：哪些操作会被拦，怎么绕

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐