安全与人工确认

资源级默认拒绝

• 每项资源分别声明 direct/tool/both/denied。
• 每项资源显式声明 read/write/delete；没有配置时一律拒绝。
• 当前 delete 固定拒绝，生产数据库写入固定拒绝。
• 外部内容和工具结果默认是不可信数据，不作为系统指令。

当前允许的资源写入

只覆盖已经存在的真实需求：更新 DevOps 测试任务、在明确测试环境数据库造数。两者都必须由配置显式开启；不扩张到生产数据库写入、删除或复杂审批平台。

Secret Store

• Token、密码、SSH Key 和证书只进入集中 Secret Store 或等价受控 Provider。
• 项目配置、Git、镜像、公开文档和普通 .env 只保存 credentialRef，不保存正文。
• 仅受控 Connector/Driver 在调用时获得最小范围投影；Worker、Agent、PI、Robot 和端侧不可见。