安全模型¶
权限控制回答“当前请求可以执行什么”，执行隔离回答“实际操作能够影响哪里”。Echo Agent 通过入口认证、工具策略、操作检查和审批限制行为；真实隔离程度还取决于部署、执行后端和操作系统权限。
分层检查¶
| 层次 | 检查内容 | 设计作用 |
|---|---|---|
| 接入 | 平台发送者、令牌、来源与配对条件 | 确认允许进入的请求 |
| 作用域 | 会话、资源归属、记忆与工作区范围 | 选择当前请求可使用的数据 |
| 工具准入 | 工具档位、能力与显式拒绝规则 | 缩小可请求的操作集合 |
| 操作约束 | 路径、命令、网络目标和参数 | 约束实际操作对象 |
| 审批 | 允许、询问或拒绝 | 处理需要进一步授权的动作 |
| 执行环境 | 本地、容器或远程后端 | 决定实际进程与文件边界 |
这些检查分布在不同调用路径上，不表示任意工具都经过完全相同的一条线性管道。
Runtime 的策略组合¶
安全档位区分本机个人使用、后台服务和公开 Gateway；工具档位区分最小工具、消息、代码和完整工具集。最终可用能力由多层策略共同决定，不能仅靠提升某一个档位判断。
工具调用可直接允许、等待审批或拒绝。无人值守请求没有现场确认条件，不能依赖交互审批自动获得高风险操作权限。智能审批用于评估操作风险，不代替硬性拒绝规则。
命令检查可阻止已识别的危险形式；文件操作验证路径；受保护的网络抓取校验协议、地址、DNS 结果与重定向。此类控制不能推导为所有第三方代码或外部工具均受同等隔离。
多客户端与多租户边界¶
同一实例支持多个客户端和会话，但会话键主要是上下文与路由标识。普通和管理令牌提供认证及管理层级，不会自动把整个实例划成独立租户。
面向互不信任的用户或组织时，应分别运行实例，并分离进程、数据目录、数据库、工作区、凭据与网络入口。某个接口实现了更细的资源归属校验，不代表所有接口具有相同边界。
Desktop 的授权¶
Desktop 将已授权目录、任务权限模式与能力授权结合使用。Browser Use 对副作用单独确认；Computer Use 从明确请求启动，任务内连续操作，暂停或停止后旧授权失效。操作系统权限由系统设置控制。
桌面工作区是工作范围，不是操作系统文件沙箱；IDE 终端以当前用户身份运行。只读讨论、普通工具审批与电脑任务授权是不同机制，应按功能理解。
数据与凭据¶
由 Runtime 凭据管理器保存的凭据可以加密落盘，但直接填写在配置中的模型密钥和通道令牌不会因此自动迁入加密存储。迁移时应同时保留数据和对应密钥。
Desktop 的个人模型配置也可能包含 API Key，需要保护文件权限。两端的本地存储均不意味着模型、MCP、连接器或检索服务不接收任务数据。
内容与指令的区别¶
网页、附件、工具结果和自动提取的记忆应作为资料处理，不能自行获得用户授权。记忆写入扫描、来源优先级和技能准入用于减少不可信内容影响后续行为；这些机制降低风险，不能保证所有注入均被识别。