安全与隐私

数据存放位置

NevoFlux 以本地优先。你的会话、知识库(~/.gbrain/)、配置和 API 密钥都保存在你自己的机器上。智能体作为随浏览器内置的本地进程运行。

会离开你机器的内容:你发送给所选 LLM 提供商的请求会到达该提供商;你使用的任何 MCP 服务器或网络工具会访问各自的端点。启用端侧模型时,LocalOnly 防护会把模型流量留在你的机器上。若你开启了 Jev,请了解它会收到哪些内容。

API 密钥

密钥保存在 config.toml 或环境变量中 —— NevoFlux 不使用操作系统钥匙串。请把 config.toml 当作机密文件,切勿提交到任何地方。

不询问就能执行多少,由设置 → General 中的 Agent execution 决定。默认是 Read-only:智能体可以自由浏览、导航和抓取, 但任何会改变网站、文件或你机器的操作都要等你批准。更高的三档 —— Browser auto、 Browser auto + reads、Full auto —— 逐级自动批准更多操作。请谨慎提高档位,并把 Full auto 理解为"本对话中的任何工具都可以不经询问直接运行"。

分类器无法识别的工具一律按最高风险处理,因此新增工具或第三方工具在 Full auto 以下永远不会被自动批准。

**从 v0.3.13 之前升级:**旧的 **Auto-execute(自动执行)**选项从未真正生效,升级后会重置为 Read-only,而不是变成 Full auto。

远程控制会话继承的也是这个档位 —— 配对的手机能看到档位,但无法提高它。配对的 AI 智能体则每个配对各有自己的档位,它委派的任务不能超过该档位。

无人值守运行的工作受创建它的会话档位约束:循环视其运行内容需要 Browser auto 或 Full auto,而创建定时任务需要 Full auto(v0.3.16)。

工具闸门

自 v0.3.16 起,智能体发起的每一次工具调用 —— 无论来自 NevoFlux 自己的智能体循环,还是来自调用 NevoFlux 工具的 ACP/CLI 提供商 —— 在运行前除了档位之外,还要依次通过同一道闸门:

Pack 站点规则 —— 已安装或已激活的 pack 针对特定网站提供的拒绝或询问规则。
Pack 钩子 —— pack 若附带 WebAssembly on_tool_pre 检查,则在此运行。
本次运行的工具列表 —— 循环或定时运行只能调用提供给它的工具。

任一环节拒绝,检查即告结束,不会再询问任何人,因此你不会被问到一个注定要被拒绝的调用。在无人值守的运行中,本该询问的规则会直接拒绝。Pack 规则只能让限制更严 —— pack 没有任何办法放行你的档位不允许的操作。

这道闸门不覆盖的情况:

ACP 智能体自己的工具(例如 Claude Code 的 shell 或文件编辑器)在该智能体的进程中运行,NevoFlux 只能看到结果。拒绝某个 NevoFlux 工具的 pack 规则,挡不住这类智能体用自己的工具达到同样的结果。
在 orchestrate 脚本内部发起的工具调用目前尚未经过这道闸门。
站点规则在调用运行之前按其目标 URL 判定。一次点击若跳转进受限网站,要从下一次调用起才会被拦住,而不是这一次。

Pack

Pack 会安装技能、工具和仪表盘;pack-protocol/0.2 的 pack 还能添加站点规则、WebAssembly 钩子,以及在激活期间替换智能体系统提示词的权利。安装前请阅读 pack 的 pack.toml:安装预览会列出技能、Canvas 工具(及其运行的二进制)、种子页面、仪表盘及其可发送的命令,但目前还不会列出站点规则、钩子或提示词替换模式。只安装来源可信的 pack。

Canvas

Canvas 工具通过白名单运行:无 shell、参数校验、路径限制、输出/时间上限,以及审计日志。
Canvas 制品运行在沙箱 iframe 中,只能通过 Canvas 桥接访问 NevoFlux。桥接把每个 canvas 限制在它自己的存储、会话、分享和标签页之内,并且只允许它发送少数几个只读的守护进程命令。 Canvas 无法修改设置、配对、账户、MCP 服务器或 pack。

命令自动批准

命令自动批准由 config.toml 的 [auth] 节管控,包括允许列表和敏感文件匹配模式。

报告漏洞

请通过 GitHub 仓库负责任地报告安全问题。