审批模型

审批决定在运行智能体的 CLI 设备上执行。App、账户服务或中继服务可以承载请求与用户选择，但不能替代目标 CLI 的最终策略评估。

权限上限与会话审批

协作工作区有两层限制：Agent 权限上限规定该 Agent 最多能做什么；会话审批决定当前会话是否还要进一步询问。会话审批只能收紧权限，不能突破 Agent 权限上限。

五种模式

CLI 标识	App 中的名称	行为
manual	手动确认	每个需要审批的请求都等待用户决定
guarded	受保护	自动放行常规范围，高风险或不确定操作仍需确认
ai_review	AI 审核	由独立审查模型处理常规请求，高风险或不确定操作仍需确认
unrestricted	完全放行	在 OriginRouter 审批层尽量不再拦截，但仍受 Agent 和系统本身边界限制
custom	规则审批	在执行设备上评估选定的版本化策略文档

决策输入

策略评估可以使用操作类型、命令、规范化路径、网络目标、工具身份、工作区边界、会话设置和用户选择。显示层必须区分事实证据与推断摘要。

Fail closed

未知工具、证据不足、路径无法安全解析、Shell 展开含糊或超出策略表达能力时，应回退到人工确认或拒绝，而不是静默允许。

App 与 CLI 的分工

• App 管理模板、展示请求并收集用户操作；它不替代目标 CLI 的策略判断。
• CLI 加载当前策略、评估请求、执行或拒绝操作，并记录本地审计。
• 服务端负责认证、目录与投递，不拥有本地工作区决策权。