0.6.1
LatestSecurity2026-10-11安全版本。仪表盘用调用者自己就能写的请求头做鉴权；房间继承了主人的永久路径白名单与信任设置；房间里的 agent 在跑命令之前，没有任何东西去读它想干什么。三处都已关闭。
Added · 新增
- 基于会话的仪表盘访问 —— 启动器在 URL 里带一次性 token 打开页面；页面用它换会话 cookie，token 从地址栏消失，WebSocket 握手携带 60 秒单次票据，而不是进程生命周期的密码。
- 每个房间一个沙盒 —— 建房时选择，可在房间内修改。房间的 agent 被限制在这个文件夹里。
- 房间命令分类器 —— 模型读取房间 agent 在命令旁声明的意图，两者不一致时拒绝执行。信任模式、宽访问模式与结果复核设置都不能豁免它。开关在「设置 → 权限」，默认开启。
- 逐命令意图 ——
run_command必须带description；process在启动命令时必须带一个。
Changed · 变更
- 敏感路径读取、文件列表、模型列表与头像上传现在需要仪表盘会话，和其它端点一致。
- 房间回合不再继承
security.always_allow_paths、信任模式、power_user_mode或自动结果复核。 - 房间内，MEDIUM 及以上的工具即使路径在沙盒内也要确认。
- 房间内批准的沙盒逃逸只授予一次；“始终允许”既不提供也不生效。
Fixed · 修复
- 失败的仪表盘握手不再把它收到的凭据写进日志。
/api/scheduler/*此前无鉴权；现在和其它接口一样需要会话。
Not included · 未包含
- 分类器只覆盖命令工具；房间内的文件读写仍由沙盒与风险阈值管理。
- 只适用于房间。普通对话、定时任务与终端客户端保留原有门禁。
- API key 仍以明文存放在本机，仪表盘仍把整份配置交给自己的页面。
Notes · 说明
离线房间无法执行命令。分类器在无法回答时拒绝，所以没有网络时房间命令会被拒绝，直到关闭开关。这是刻意的：房间命令要么通过判断，要么不跑。
未配置判定端点时，分类器使用当前聊天模型，每条命令会多一次往返。
声明意图如实描述行为的命令仍可能被对话引导。分类器检查意图与命令是否一致；它无法判断意图从哪来。这是这一层的边界，也是为什么沙盒仍然是承重的那一层。