一张表看懂：什么会问你
智能体每调用一次工具，EasyAI Work 都先看两件事：这个工具会产生什么效果，它碰的东西在不在工作空间里。结果分三种：直接执行、先问你、拒绝。
| 智能体要做的事 | 结果 | 说明 |
|---|---|---|
| 在工作空间里读文件、搜索、列目录 | 直接执行 | 对应 read、grep、glob、tree 这些工具。 |
| 在工作空间里写文件、改文件、交付成果 | 直接执行 | 不问你，但每一步都记进执行记录。 |
| 只读的 shell 命令 | 直接执行 | 比如 ls、cat、grep、git status、git log、python --version。命令里有重定向、命令替换或 ; && || 时不算只读，只允许用管道 | 串接。 |
| 其他 shell 命令 | 先问你 | bash 工具属于「特权执行」，命令可能碰到工作空间以外的东西。 |
| 读或写工作空间以外的文件 | 先问你 | 路径会先展开 .. 和符号链接再判断。无法判断的路径一律按「外面」处理。 |
| 在本机安装运行时（install_runtime） | 先问你 | 这个工具默认关闭，要在专家里打开才会出现。 |
| 修改自己的人格、规则等文档 | 先问你 | 专家的笔记只能追加，不能改写已有内容。 |
| 联网搜索、读网页 | 直接执行 | 在 设置 › 工具 › 联网搜索与抓取 打开「每次搜索和抓取网页都等你批准」后，改为先问你。 |
| 连接器（MCP）工具 | 视情况 | 见连接器工具。 |
| 专家没有开启的工具 | 拒绝 | 智能体根本看不到这类工具。 |
在工作空间里写文件不会问你。所以请把智能体的工作空间设在你愿意让它自由改动的文件夹。设置位置见 数据存储 › 默认工作空间，也可以在专家编辑器的工具页里单独设。
审批卡片
卡片标题说明这是哪一类请求，比如「执行命令前需要确认」「写操作执行前需要确认」「读取工作区以外的内容前需要确认」「智能体要在本机安装运行时，需要确认」。子智能体发出的请求，标题前会加上「子智能体请求：」。
卡片正文列出：工具、命令或文件、智能体给的说明、能力与风险等级（如「能力：执行命令 · 风险：特权执行」）、策略与计划编号、资源，以及有效期。
三个按钮
| 按钮 | 效果 |
|---|---|
| 允许本次 | 只放行这一次。 |
| 本次会话允许 | 放行，同时为这个任务记一条规则。规则存在本机数据库里，重启后仍然有效，直到你撤销。规则的范围写在卡片左下角，见下一节。当前正在等待、已经被新规则覆盖的其他请求会一起放行。 |
| 拒绝 | 不执行。对话里记为「已拒绝操作，没有授权任何写入」，智能体会收到被拒绝的结果。 |
「本次会话允许」到底允许了什么
- shell 命令：按命令的开头记规则。一串命令里的每一段各记一条，开头的
cd不算。- 对
git、npm、npx、pnpm、yarn、pip、docker、kubectl、brew、cargo、mvn、gradle、go、uv这类带子命令的程序，记「程序 + 子命令」，比如「以「npm test」开头的命令」。 - 对解释器，记「解释器 + 脚本名」，或「解释器 +
-m模块名」。 - 对其他命令，只记程序名，比如「以「mkdir」开头的命令」。
- 对
- 其他工具：记为整个工具，比如「工具 edit」。
- 不能记规则的情况：命令里直接写了代码，比如
python -c、node -e或$(…)，这时卡片上只有「允许本次」。
危险命令
下面这些命令只能单次允许，并且要先勾选「我了解这条命令会做什么」，允许本次 才会变成可点。卡片顶部会显示一条「危险操作：…」横幅，任何规则都覆盖不到它们：
- 带
-r、-f、--recursive、--force的rm；sudo、su、doas；dd；mkfs；关机和重启类命令；launchctl - 带
-R的chmod、chown、chgrp；diskutil erase…；crontab -r；kill -9 1 git push --force、git reset --hard、git clean -f- 把
curl或wget下载的内容直接管道给 shell 或解释器执行；向磁盘设备写入
什么时候失效
- 超时：在桌面上，审批卡片 10 分钟内没人处理就失效，这一步不执行。会话绑定了手机渠道时，等待时间按「远程等待」设置，默认 120 分钟。
- 这一轮已经结束：卡片显示「已失效：提出它的轮次已结束」。
- 批准之后有变化：批准后、真正执行前，EasyAI Work 会再核对一遍：参数、工具版本、风险等级、策略、工作空间状态，有任何一项变了就不执行，执行记录里记为「批准后有变化，未执行」。
权限芯片：放宽、查看、撤销
输入框下方的 默认权限 就是权限芯片。放宽过权限后，它显示为 本次会话已授权。点开后的菜单：
| 菜单项 | 说明 |
|---|---|
| 默认权限：写操作先询问 | 回到默认，同时撤掉「本任务全部允许」。 |
| 本任务全部允许：除危险命令外都不再询问，重启后仍然有效 | 这个任务里的请求都不再问你，危险命令除外。只影响这一个任务。 |
| 以「xxx」开头的命令 / 工具 xxx | 每条已记下的规则一行，下方写着「本任务已允许 · 点击撤销」。点一下就撤销这条规则。 |
| 执行记录… | 打开这个任务的执行记录，见下一节。 |
规则只属于记下它的那个任务，不会带到别的任务。子智能体替主任务干活时，也适用主任务的规则。
执行记录
权限菜单 › 执行记录… 会打开一个窗口，按时间倒序列出这个任务里执行过的每一个工具步骤：做了什么、依据谁的同意。最多显示最近 500 条。
| 列 | 可能的值 |
|---|---|
| 步骤 | 已生成计划、等待审批、已批准、执行前复核、执行中、已完成、失败、批准后有变化未执行、已拒绝、无人及时回应、已取消、只读无需审批、被拒绝 |
| 依据 | 只读命令、会话规则、人工（桌面）、人工（来自渠道）、人工（在终端里） |
连接器工具
连接器（MCP 服务器）提供的工具，会自己声明「只读」还是「会修改」。但这个声明只作参考，以你的确认为准：
- 在 设置 › 连接器管理 › MCP 服务器 打开某个服务器的详情，工具列表里有一列 作用，可选：只读 / 会修改（可撤回）/ 会修改（不可撤回）/ 对外有影响（发送、支付、发布）。
- 还没确认的工具标着 未确认。自称只读但你还没确认的，按「会修改」处理，每次调用都先问你。
- 按服务器声明全部确认：一次性采信服务器的声明。
- 每个工具还有一个 自动批准 开关。打开后，这个工具的调用不再询问。
当前版本还不支持「对外有影响」这一档：确认为「对外有影响」的工具会被直接拒绝调用。需要用这类工具时，先确认为「会修改（不可撤回）」，这样每次调用都会先问你。
运行方式对权限的影响
- Ask（仅问答）：内置工具只剩只读的那些，写入和执行类工具根本不会出现。
- Plan（计划）：你确认计划之前，只有读、查、搜索、列待办、提问和交计划这几个工具可用，连接器只保留只读工具。其他请求一律拒绝，不会弹出审批卡片。
在别处作答
- 子智能体：explore 这类只读子智能体不能请求审批。worker、fork 发出的请求会出现在主任务的对话里，标着「子智能体请求：」。
- 手机渠道：会话绑定了 Telegram、飞书等渠道时，审批也会推送到手机上，在哪边处理都行。桌面会显示「已同意 · 来自 xx」。详见 渠道 › 在手机上能做什么。