本文提出一个研究命题：能够被制造成长期、可复核工件的，不是开放世界的 AI 本体，而是经过严格收缩的决策面。作者区分了 confidence（输出分布尖锐度）、calibration（长期统计关系）与 authorization（制度与权限概念）三个常被混淆的概念，强调概率不能替代授权。文章设计了 Jev 与 TapeOut 连接的两条路线：在线提案路线（Jev 仅提出有限动作建议，确定性安全层与独立执行器限权）与离线冻结路线（将冻结后的有限决策面物化为 Circuit 工件）。作者同时承认最强反对意见的正确性：把世界编码为 bits 只是把模糊性转移到电路之外，并给出不应冻结的条件。核心结论是让 AI 可以提案但不能改写边界，把不可协商的规则放进确定层。
作者分享了WorkBuddy这款work类agent在安全机制上的实测体验。作者从早年AI改代码踩坑的经历出发，指出不写代码的白领用户同样需要'撤销键'。实测中，WorkBuddy在批量删除55个文件时主动确认、先备份再移入废纸篓，备份经sha256校验逐字节一致；其操作日志为哈希链可防篡改，技能安装有风险检查。此外，WorkBuddy开放十几个模型可选、连接飞书钉钉等第三方办公产品，并内置独立开发者的开源skill。作者认为安全能力本质是给用户加了胆子，让非技术用户也能放心尝试和迭代。
文章探讨生产级 AI Agent 的安全架构与沙箱配置。作者指出行业安全事件多源于提示注入、凭证暴露和开放网络访问，并提出核心方案：“大脑与双手分离”架构——将 harness、会话状态和凭证放在沙箱外部的可信基础设施上，沙箱内的代码通过出口代理按需注入凭据。沙箱配置方面，文章对比容器、gVisor、MicroVM 和完整 VM 四级隔离方案，推荐 MicroVM；建议沙箱短生命周期、默认拒绝出站流量并采用白名单代理，同时需在沙箱外部进行日志监控并配备可即时生效的 kill switch，以实现结构性的安全保障。
