尊重你 “影响范围” 的自动化

每个 agent 都跑在自己的 container 里

每个 workflow 的工作都是隔离的：独立的 container、独立的 git worktree、独立的环境。工单描述及其链接的内容是嵌入 prompt 中的不可信输入，因此容器化限制了被劫持的 agent 会话能触及的范围 —— 它缩小了 prompt injection 的影响范围，而不是指望 agent 自己规矩行事。

egress 经由允许清单防火墙

出站流量按设计走允许清单：只有一份精心挑选的主机集合可以访问，其余一概默认拒绝。这份默认清单不止涵盖你自己的工具 —— 它还放行了编码 agent 正当所需的 package registry 和开发者文档站点：

• 你的工单系统 —— Jira / Atlassian（含 developer.atlassian.com）或 GitHub（含 docs.github.com）
• AI 提供商 API —— Claude、Codex（OpenAI）和 Cursor 会按你启用的提供商开箱即用地放行；OpenCode 是自托管的，因此放行的是它的 base_url
• Package registry —— npm（外加你的 .npmrc）、crates.io、docs.rs、nodejs.org
• 常用开发者文档 —— rust-lang.org、MDN、Stack Overflow
• 用于 AWS 认证运行的 AWS STS / SSO 端点

AI 提供商主机会跟随你在 available_providers 里启用的那些提供商 —— 收窄这份清单即可收紧防火墙，或用 extra_egress_hosts 添加你自己的主机。请把防火墙视为纵深防御中缩小影响范围的一层 —— 它并非绝对保证，在 beta 阶段仍在持续加固。

纵深防御，而非万能灵药

隔离能降低风险，但不能消除风险。Takuto 期望你预先就位几项默认设定，好让一次被攻破的运行无法造成实质损害：

默认即隐私

Takuto 不追踪任何人 —— 产品上如此，本网站上也如此。

• 无使用分析、无崩溃上报、无 phone-home、无遥测。
• 你的代码、工单内容和 prompt 只会发往你自己配置的 AI 提供商 —— Takuto 本身从不收集它们。
• 容器化意味着它跑在你的机器或你自己的服务器上：部署归你所有。