仅限你的工作区
命令只能在你共享的文件夹和系统临时文件夹内写入，仅此而已。
沙盒
你的 AI 执行命令。 你的凭据无法被触及。
当 ChatGPT、Claude 或 Agent 通过 Frely CLI 在你的电脑上运行命令时，该命令会在操作系统沙盒中运行。它可以在你共享的文件夹中工作，却无法读取你的密钥，也无法更改你电脑的启动方式。
默认情况
命令能访问什么、不能访问什么。
在任何人请求更多权限之前，这些规则适用于每一条命令。
凭据文件夹
诸如 ~/.ssh、~/.aws 以及已保存的 git 凭据等文件夹对所有命令均不可见。即使经过你的批准，Frely 自身的设备密钥也永远无法被打开。
电脑的启动方式
Shell 启动文件、登录项和 git 钩子均受保护，因此命令无法留下日后在沙盒之外运行的东西。
当任务需要更多权限时
AI 来询问。由你决定。
- 01
AI 主动询问
它会说明原因和确切的命令。它无法批准自己的请求。
- 02
你在 Frely 上决定
你在 Frely 网站上通过账户验证进行批准，而不是点击聊天中的按钮。
- 03
先最小授权，随时可撤销
只批准一条命令、一组凭据或一个文件夹。脱离沙箱运行是最后的选择，绝不是默认选项。
为失败即关闭而设计
无沙箱，不运行。
如果一台电脑无法运行沙箱，Frely CLI 会拒绝执行命令并说明原因。它绝不会在没有保护的情况下运行命令。
无保护的运行将被拒绝
无法放入沙箱的命令会停止执行并给出原因，而不是直接运行。
Git 照常工作，安全无忧
像 git push 这样的日常命令可以正常使用。每条命令执行完毕后，Frely CLI 会移除任何之后可能运行程序的新增 git 设置，并告知 AI 它移除了什么。
适用范围
Frely CLI 为 AI 运行的每一条命令。
同一套规则涵盖在你的电脑上运行命令的三种方式。
- ChatGPT、Claude 及其他应用通过 FrelyMCP 在你的电脑上运行的命令
- 你通过“部署到 Frely”在自己电脑上运行的 Agent
- 付费 Skill 中的加密脚本
你的 AI 直接在其终端中运行的命令（例如 Claude Code）遵循该工具自身的规则。
它不涵盖的范围
在依赖它之前，先了解边界。
沙盒会让凭据无法被触及。它并不是包裹你电脑上一切内容的围墙。
不限制访问的网站
网络不按站点限制，因此 npm、pip 和 git 仍可正常使用。保护来自让凭据无法被触及。
凭据文件夹之外的文件
凭据文件夹之外的文件（例如另一个项目中的 .env 文件）可能被命令读取。
获批的访问就是真实的访问
你批准的访问就是真实的访问。只批准你理解的内容。
基于开源构建
该沙盒基于 Anthropic 的开源沙盒运行时构建，目前仍处于测试阶段。
FAQ
连接前你可能想问的问题
AI 能读取我的 SSH 密钥吗？
默认不能。如果任务需要用到，AI 必须先询问，并由你在 Frely 网站上批准。
AI 能关闭沙箱吗？
不能。只有在 Frely 网站上由你批准，才能在不启用沙箱的情况下运行。
支持 Windows 吗？
Frely CLI 在 macOS 和 Linux 上以沙箱方式运行命令。在沙箱不可用的地方，命令会被拒绝执行，而不是在无保护的情况下运行。
命令能把我的文件发送到互联网吗？
命令可以访问网络，因此它可以发送它能读取的内容。这就是凭据文件夹被隐藏的原因。