AI 自动装软件改笔记,红线在哪(系列三)

上篇讲了我让 AI 装好 Codex 和 Obsidian。肯定有人心里咯噔一下。

它在我电脑上跑命令、改我笔记，那它会不会乱翻我文件、偷我东西？

这顾虑太正常了。先把红线讲清楚，让你知道边界在哪儿。

AI 插画示意，非真实界面

先分清：上篇真正装上、真正在改我笔记的，是 Codex，不是 WorkBuddy。

这俩安全模型不一样，得分开说，别混。

先说 WorkBuddy。它是 AI 桌面助手，干活有范围。

AI 插画示意，非真实界面

它的"工作空间"，是新建任务时你指定的项目目录；授权文件夹，是它读写的边界。

你给它授权的文件夹（比如你的 Vault 目录），它才读得到、改得了。

没授权的，它碰不到——这是第一道边界。

但它不是说"绝对隔离"。准确讲：工作空间内的常规操作直接执行。

超出范围、或涉及高风险操作时，它会暂停并请求确认。

边界是"会问你"，不是"碰不到"。

而且你能手动切到"完全访问权限"，那个模式会关闭高风险操作的逐步确认。

所以安全类内容最忌过度保证：别以为"它永远会拦"。

WorkBuddy 还有安全中心：安全沙箱、删除保护、修改前备份，默认是开的。

AI 插画示意，非真实界面

这些开关你在设置里能关掉——记住，别主动关这几个。

再说 Codex，这才是上篇真正改我笔记的那个。

AI 插画示意，非真实界面

Codex 有自己完全独立的一套安全模型，和 WorkBuddy 不是一回事。

它默认批准模式是 Auto：能自动读文件、改文件、跑命令。

而且 Codex 启动时检测文件夹是否受版本控制：受版本控制的推荐 Auto，不受版本控制的才推荐 Read Only。

我的 Vault 已经 git init，恰好落在被推荐 Auto 的那一档。

也就是说，改笔记、跑命令，默认是不问的。

所以如果你要用 Codex，务必知道：它的默认档比想象中宽松。

想更稳，可以切到 Read Only：读文件、回答问题，改和跑都需批准。

需要联网调模型时，还要显式打开 network_access——默认是断网的。

千万别用 Full Access：那是完全磁盘和网络访问、无提示，极其危险。

两条都要记的红线，和"授权"无关，是"出境"。

授权和沙箱管的是"能不能动你的文件"。

管不了"内容会不会被发出去"。

AI 会把读到的文件送进模型推理；你接第三方模型时，数据就离开本机了。

我上篇那个 Codex + DeepSeek，笔记正文就是作为上下文发往 DeepSeek 的 API。

你要拿这套处理合同、客户名单、病历，风险模型完全不同。

还有：自动化、定时任务无人值守时没有弹窗确认。

必须在提示词里写死工作目录与禁止操作。

几条实在的红线，照着设就不慌。

WorkBuddy 侧：独立工作空间（只给 Vault 目录）＋默认权限＋安全中心开关全开＋提示词里写死边界。

Codex 侧：审批模式选 Read Only 或明确 Auto 的边界＋沙箱策略。

约束要用配置化的权限规则文件，而不是光靠一份自然语言提示。

关于"约定不碰某目录"：我让 Codex 只动 raw/wiki/日报，配置目录不碰。

但官方对这类指令文件的定位很克制：无法保证里面的准则一定被遵守。

要确定性约束，得用配置化的 permission controls，不能只靠一句话。

再说密码和 Key：走系统环境变量，只是不把明文写进脚本或仓库的改善手段。

环境变量不等于保密——同用户进程能读，也会落 shell 历史和日志。

真要做：最小权限 Key、定期轮换、密钥目录绝不设成工作空间。

最后一条：给 Vault 上 git，且 git init 不等于有回滚点，必须先 commit。

重要改动前先提交，才能 git checkout 回滚。

说到底，AI 不是魔法，也不是洪水猛兽。

授权清楚、边界明白、数据出境心里有数，它就是个听话又能干的帮手。

下一篇我打算讲：AI 帮我装，跟我自个儿装，到底差多少时间。

感兴趣的，接着看。