真正的桌面访问权限，用更高的标准约束

配对必须在本机批准。只有宿主应用能批准请求；Agent 无法给自己放行，面向 Agent 的接口里也没有任何控制类方法

批准授予的是明确的范围：默认是所有桌面应用（包括之后才出现的），也可以是显式列出的应用。独立浏览器是另一项单独的权限

旧的配对保持原有范围。升级绝不会悄悄放宽权限；要放宽，需要先撤销再重新配对

前台操作在配对时一并授予，但必须用 mode: "foreground" 显式申请。会话默认在后台，且不会自动回退到前台

无论授权范围多大，暂停、紧急停止和撤销都有效。暂停和紧急停止在退出、重新打开、登录和更新后依然保留，会阻止按需启动，只有 App 中的恢复或重启按钮才能解除

按需启动服务不会产生任何授权：系统权限和首次配对仍需要你的批准

CLI 与 MCP 通过私有通道与宿主通信：macOS 上是仅所有者可访问的 Unix socket（位于仅所有者可访问的目录），Windows 上是仅限当前用户的命名管道

可选的 HTTP MCP 每次启动都默认关闭，只监听 127.0.0.1，要求客户端凭据，并拒绝来源不符的 Origin 和 Host。跨机器访问只能手动建立 SSH 隧道，绝不会监听局域网

客户端凭据是随机令牌。运行时只保存它的 SHA-256 哈希；CLI 把自己的那份存在私有文件里，且从不打印

没有遥测。内置驱动的遥测和更新检查已被禁用，App 自己的更新检查只读取 GitHub 上公开的发布信息

安装提示词只包含本机路径提示，不含凭据。App 只负责复制：它不会安装 Skill，不会写入 Agent 的配置或 Skill 目录，也不会配对客户端或启动服务

动作记录只保存元数据：请求 ID、动作类型、状态、时间和错误码，最多保留最近 7 天内的 500 条已结束记录

默认日志从不包含截图、输入文本、URL 或窗口标题。CLI 写出的截图是仅本人可读的本地文件，会在之后的运行中于 24 小时后清理

安全文本框和密码框的值，以及仅由掩码字符组成的值，会在适配器内部被丢弃，绝不会进入结果或验证条件

在 macOS 上，系统的 Apple 菜单以及当前未展开的菜单内容不会暴露给 Agent

每个动作都消耗一份新鲜的快照。窗口已变化或快照过期时，动作会被拒绝，而不是凭猜测执行

请求 ID 让重试变得安全：相同 ID 和相同参数返回已知结果，同一 ID 搭配不同内容则会被拒绝

如果连输入是否送达都无法确定，动作会被记为 unknown，桌面执行会停止，直到你重新启动。任何不确定的动作都不会被重放，重启之后也一样

“已执行”不等于“已验证”。只有明确的可观察条件才会产生已验证的结果，而且它只证明那一个条件

发布流程产出的 macOS 构建使用 Developer ID 签名并经过公证。应用内更新只有在 Bundle ID 与签名团队和正在运行的 App 一致、通过 Gatekeeper 检查且版本更新时才会安装

Windows 安装程序和便携版尚未代码签名，SmartScreen 或 Smart App Control 可能给出警告或拦截

每次下载都会与发布的 SHA-256 文件、元数据（版本、平台、提交、干净源码标记、大小、签名方式）以及 GitHub 记录的摘要（如有）进行核对

更新请求只发往 github.com、api.github.com 和 githubusercontent.com 的 HTTPS 地址，每次跳转都会重新检查。内置的 Node 和驱动版本是固定的，并在打包时校验哈希

本地授权无法隔离以同一个操作系统用户身份运行的恶意进程

如果你的 Agent 使用云端模型，它请求的截图和结果会由该服务商处理

后台执行取决于具体应用和控件，因此无法排除焦点变化。获准的客户端也共享同一个独立浏览器空间

以管理员权限运行的 Windows 应用、UAC 安全桌面，以及画布和终端中的长文本，不在已验证范围内

这是一个开发预览版，只在有限的系统上验证过。具体检查了什么，请见平台表

一键提示词接入目前只做过有限检查：尚未在干净的机器上测试从下载到首次观察的完整流程，也未测试 Codex 之外的 Agent 安装 Skill