В этом материале
В Jan --safe включает подтверждения, а --sandbox ограничивает shell. Это независимые механизмы; для записи долговременной памяти документированы отдельные правила.
У Jan Agent есть отдельные механизмы рассмотрения операции и ограничения доступных shell-процессу ресурсов. Разница существенна, когда локальный помощник переходит от объяснения файла к изменениям и командам. Диалог подтверждения и граница исполнения дают разные сведения об одном действии. Наличие любого из них не описывает автоматически все права запущенного процесса и все способы сохранения информации.
Изучите фактический режим запуска
Руководство разрешений Jan разделяет --safe и --sandbox. Режим подтверждений спрашивает о соответствующих инструментах, но сам не ограничивает shell. Ограничение shell автоматически не включает подтверждения. На фактическое поведение также способны влиять прежние настройки проекта и глобальной конфигурации.
Для первого локального упражнения явно задайте оба требования, не выводя одно из другого. До изменения репозитория проверьте запуск и конфигурацию. Знакомое название продукта или видимый запрос разрешения ещё не описывают всю границу доступа, с которой исполняется предложенная команда.
Отдельно проверьте политику проекта
Справочник конфигурации проекта описывает хранилище и настройки инструментов. Инструкции репозитория выражают желаемое поведение, а политика исполнения определяет доступные операции. Просьба не читать другую папку не эквивалентна запрету доступа к этой папке со стороны среды.
Создайте одноразовый проект с разрешённым учебным файлом и посторонним образцом за предполагаемой границей. Попросите безвредное чтение и предложенное изменение. Наблюдайте запрос подтверждения и отказ ограничения отдельно. Не используйте личные документы для экспериментального обнаружения границ доступа и не проверяйте их на важных рабочих файлах.
Поймите область разрешения
Интерфейс предлагает решение для одного вызова или более широкое разрешение текущей беседы. Читайте точную подпись. Разрешение категории записей отличается от одобрения одной операции; разрешение базовой команды отличается от неограниченного доступа к любым вызовам shell.
В упражнении сохраняйте узкий выбор. После отказа убедитесь, что файл не изменился. Также различайте запрет политики и решение модели не использовать инструмент. Только первый непосредственно показывает работу настроенного пути принудительного ограничения; отсутствие вызова само по себе не доказывает запрет.
Учтите долговременную память
Документация памяти Jan описывает отдельное поведение специализированных инструментов, включая запись без запроса в safe mode при отсутствии явного запрета. Поэтому safe mode нельзя представлять универсальной сессией только для чтения, в которой никакие данные не сохраняются.
Проверьте информацию, способную попасть в долговременную память проекта или пользователя. История беседы и память — разные хранилища. Если упражнение запрещает постоянные заметки, выразите требование соответствующей политикой и проверьте результат хранения, не полагаясь на отсутствие диалога редактирования файла.
Отделите восстановление от предотвращения
Руководство сессий рассматривает историю и восстановление файлов с зависимостью от Git. Откат уже сделанного изменения отличается от его предотвращения. Последствия внешней команды также могут выходить за пределы перемотки беседы и состояния исходных файлов.
Для работы с кодом сочетайте понятные подтверждения, проверенную границу исполнения и обычный просмотр изменений репозитория. Укажите версию Jan и действующие настройки. Такой результат конкретно объясняет возможности локального агента, не превращая один флаг в полное описание безопасности всей системы.
Материалы по теме
llama.cpp server: локальный API из GGUF-модели, VRAM для LLM: почему размер модели — не весь расчёт.