它动手之前，先过三道关。

AI 可能误解你的意图，也可能被网页、文件中的内容误导。对能操作电脑的 Interea，这些偏差可能变成把资料发给错误的人、改写不该动的文件，或执行破坏性命令。Interea 围绕这些风险设置三层护栏，在操作发生前识别风险，并按授权和程序规则处理。

用户配置

保留敏感操作的确认，防止一次任务要求被扩大为长期授权。

AI 自查

识别意图偏差、敏感信息，以及外部内容中的越权诱导。

应用拦截

由程序检查工具调用，命中规则后插入审批或直接拒绝。

三层护栏如何防范风险

用户配置：把敏感授权留给你

「完成任务」不自动包含任意保存、发送或删除的许可。为减少 AI 把任务目标理解成过大授权的风险，Interea 默认开启重要动作审核，并关闭保存文件、对外发送的长期授权。需要这些行为时，工作规则要求 AI 先取得本次操作的批准。

这些配置作为授权策略写入 AI 的工作上下文，要求 Interea 在派发相关操作前取得批准。一次批准只对应说明过的操作或批次，不会自动打开账号的长期授权；即使用户开启了保存或发送权限，其他独立的风险检查仍然保留。

AI 自查：识别意图偏差与越权诱导

读取客户名单和把名单发给外部联系人，都可能用到正常的软件功能，但带来的风险不同。AI 自查把下一步动作放回任务目标中判断：是否访问了无关的敏感资料，是否对外发送或付款，是否造成不可逆变更。工作规则要求 AI 对这些风险说明对象、必要性和影响，并按授权情况请求确认。

为防止网页或文件里的文字变成越权指令，Interea 将外部内容作为待处理资料。AI 的规则要求它忽略其中诱导泄密、扩大授权或绕过限制的内容。登录、验证码和凭据输入交给用户亲自完成，减少 Interea 经手敏感凭据的机会。

这一层补充对语义和上下文的判断。考虑到模型可能漏判，Interea 还在工具执行前安排程序检查。

应用拦截：由程序检查即将执行的调用

应用拦截由执行系统（Harness）负责。它检查模型提出的动作、实际工具参数，以及能解析的命令和路径，按固定规则生成审批或拒绝结果。即使 AI 没有主动要求确认，命中规则的调用仍会被识别出来。

• 敏感信息与高风险动作。从动作描述和可解释的终端命令中识别敏感信息访问或外传、财务交易、破坏性变更、权限变更及外部承诺等风险，命中后插入审批。
• 工作范围之外的文件与程序。检查文件工具的目标路径，以及终端命令中能静态识别的外部路径和程序，对越出工作区的访问发起相应审批。
• 软件安装。识别终端工具调用中的安装命令，单独发起安装审批，避免把环境改动隐藏在普通任务步骤里。
• 内置规则认定的危险命令。终端执行入口直接拒绝命中规则的调用。这类拒绝不会因人工批准或免审模式而解除。

因此，AI 自查提供上下文判断，应用拦截提供已实现规则范围内的程序检查。需要审批的操作进入统一的执行关口，再根据用户设置和已有授权决定是否等待确认；危险命令的直接拒绝独立生效。

审批是一道执行前的关口

AI 自查和程序检查产生的审批，最终由执行系统处理。在默认审核配置下，调度器先处理需要确认的审批，再运行关联工具；等待答复时暂停推进该任务下的子代理。拒绝后，程序跳过受影响的调用，让「不同意」落实为不执行。

为了让你能作出判断，审批说明展示要做什么、为什么需要，以及影响哪些对象。文件与终端的程序审批直接从工具参数提取路径、程序或命令；AI 主动发起的审批保留它给出的说明。

用记录和停止控制保留纠错机会

执行中的问题也需要能被发现和追查。任务记录保留审批请求、处理结果、操作步骤与执行结果，并区分人工批准和自动放行，便于核对敏感操作依据了什么授权。这里使用任务记录，不依赖全程截图录像。

发现 Interea 正在偏离目标时，可以按下「停止」中止后续执行。停止提供的是及时介入的手段，已经发出的消息或完成的文件修改不会自动撤销。

护栏的覆盖范围

三层护栏分别覆盖不同类型的风险：用户配置和 AI 自查依赖模型遵守授权规则，应用拦截覆盖已实现的程序规则与工具入口。它们可以相互补充，但不保证识别任意脚本、动态命令或界面操作的全部后果。

当前机制属于应用层控制，不是覆盖全部文件、网络和进程的操作系统沙箱，也不是覆盖所有数据出口的防泄漏系统。这些护栏用于降低 AI 误判或越权造成的风险，保留必要的人工确认与干预机会。

设置与授权的补充说明

哪些设置会改变审核方式

设置决定 Interea 处理常见操作时采用的授权规则。默认配置保留重要动作审核，并关闭保存文件和对外发送的长期授权。

「允许发送信息」控制的是代表你对外发送内容，不是整机断网开关，也不表示任务数据不会用于模型推理。

关闭「重要动作需审核」会启用免审：AI 或程序新发起的风险审批自动通过，不再等待你逐项点击；已经在等你处理的审批仍需答复。需要你亲自登录、输入验证码等步骤也会等待，内置危险命令的直接拒绝规则继续生效。

一次授权覆盖什么、持续多久

单次批准对应审批中说明的操作或批次，不会自动修改账号里的长期设置。

会话授权用于减少同类操作的重复确认，只在能够明确表达授权范围的审批中提供。范围以按钮和审批说明为准：文件读取、文件写入和软件安装属于不同权限；程序执行授权对应具体程序路径。文件类会话授权可能覆盖本会话中的同类访问，不应理解为只批准了卡片上出现的一个文件。

一次操作需要的会话权限全部满足时，相关审批才自动通过。允许读取不等于允许写入，允许执行某个程序也不会免去其他独立的风险检查。范围无法明确表达的审批，不提供会话批量授权。

会话授权保存在当前任务记录中，同一任务恢复时仍然有效，不自动带到新建任务。账号中的长期设置则持续保存，直到你修改。因此，单次批准、会话授权和长期偏好具有不同的生命周期，不能概括为所有权限在一轮执行结束后统一清空。

操作系统授予应用的辅助功能、屏幕录制等权限，由系统单独管理，也不等同于任务中的操作批准。