真正的桌面存取權限，以更高的標準約束

配對必須在本機核准。只有 App 本身能核准請求；Agent 無法替自己放行，面向 Agent 的介面中也沒有任何控制類方法

核准授予的是明確的範圍：預設是所有桌面應用程式（包含之後才出現的），也可以是明確列出的項目。獨立瀏覽器是另一項單獨的權限

舊的配對維持原有範圍。升級絕不會悄悄放寬權限；若要放寬，需先撤銷再重新配對

前景操作在配對時一併授予，但必須以 mode: "foreground" 明確要求。工作階段預設在背景，且不會自動切換到前景

無論授權範圍多大，暫停、緊急停止與撤銷都有效。暫停與緊急停止在結束、重新開啟、登入和更新之後依然保留，會阻止依需求啟動，只有 App 中的恢復或重新啟動按鈕才能解除

依需求啟動服務不會產生任何授權：系統權限與首次配對仍需要你的核准

CLI 與 MCP 透過私有通道與 App 通訊：macOS 上是僅限擁有者存取的 Unix socket（位於僅限擁有者存取的資料夾），Windows 上是僅限目前使用者的 named pipe

選用的 HTTP MCP 每次啟動都預設關閉，只監聽 127.0.0.1，要求客戶端憑證，並拒絕來源不符的 Origin 與 Host。跨電腦存取只能手動建立 SSH 通道，絕不會在 LAN 上監聽

客戶端憑證是隨機產生的 token。執行層只保存它的 SHA-256 雜湊值；CLI 把自己的那份存在私有檔案中，且從不顯示

沒有遙測。內建驅動程式的遙測與更新檢查已停用，App 自己的更新檢查只讀取 GitHub 上公開的發佈資訊

安裝提示詞只含本機路徑提示，不含憑證。App 只負責複製：它不會安裝 Skill，不會寫入 Agent 的設定或 Skill 資料夾，也不會配對客戶端或啟動服務

動作記錄只保存摘要資訊：請求 ID、動作類型、狀態、時間與錯誤碼，最多保留最近 7 天內的 500 筆已結束記錄

預設日誌從不包含截圖、輸入的文字、URL 或視窗標題。CLI 寫出的截圖是僅限本人讀取的本機檔案，會在之後的執行中於 24 小時後清除

安全文字欄位與密碼欄位的值，以及僅由遮罩字元組成的值，會在後端整合層內部被丟棄，絕不會進入結果或驗證條件

在 macOS 上，系統的 Apple 選單，以及目前未展開的選單內容，不會暴露給 Agent

每個動作都會用掉一份最新的快照。視窗已變化或快照已過期時，動作會被拒絕，而不是憑猜測執行

請求 ID 讓重試更安全：相同 ID 與相同參數會回傳已知結果，同一 ID 搭配不同內容則會被拒絕

若連輸入是否送達都無法確定，動作會被記為 unknown，桌面端的執行會停止，直到你重新啟動。任何不確定的動作都不會被重播，重新啟動之後也一樣

「已執行」不等於「已驗證」。只有明確的可觀察條件才會產生已驗證的結果，而且它只證明那一個條件

發佈流程產出的 macOS 版本以 Developer ID 簽署並經過公證。App 內的更新只有在 Bundle ID 與簽署團隊和執行中的 App 一致、通過 Gatekeeper 檢查，且版本較新時才會安裝

Windows 安裝程式與免安裝版尚未進行程式碼簽署，SmartScreen 或 Smart App Control 可能發出警告或加以攔截

每次下載都會與發佈的 SHA-256 檔案、版本資訊（版本、平台、commit、乾淨原始碼標記、大小、簽署方式），以及 GitHub 記錄的摘要（若有）進行核對

更新請求只會送往 github.com、api.github.com 與 githubusercontent.com 的 HTTPS 位址，每次轉址都會重新檢查。內建的 Node 與驅動程式版本是固定的，並在封裝時驗證雜湊值

本機授權無法隔離以同一個作業系統使用者身分執行的惡意程式

若你的 Agent 使用雲端模型，它要求的截圖與結果會由該服務供應商處理

背景執行取決於具體的應用程式與控制項，因此無法排除焦點變化。獲准的客戶端也共用同一個獨立瀏覽器空間

以管理員權限執行的 Windows 應用程式、UAC 安全桌面，以及畫布與終端機中的長文字，不在已驗證範圍內

這是開發預覽版，只在有限的系統上驗證過。實際檢查了什麼，請見平台表

一鍵提示詞接入目前只做過有限檢查：尚未在乾淨的機器上測試從下載到首次觀察的完整流程，也未測試 Codex 以外的 Agent 安裝 Skill