chore: 保存 Agent 安全优化前基线

docs/ai-agent.md

@@ -51,15 +51,15 @@ OpsXShell 适合吸收 aiops Agent CLI 的执行 Harness，不适合照搬它的
 
 ### 安全边界
 
-| 等级     | 示例                              | 严格模式 | 均衡模式（默认） | 宽松模式 |
-| -------- | --------------------------------- | -------- | ---------------- | -------- |
-| safe     | `df -h`、`journalctl -u nginx`    | 自动执行 | 自动执行         | 自动执行 |
-| low      | 未知自定义查询命令                | 自动执行 | 自动执行         | 自动执行 |
-| medium   | 文件写入、普通权限变更            | 先确认   | 自动执行         | 自动执行 |
-| high     | 服务重启、删除、包安装、K8s 变更  | 先确认   | 先确认           | 自动执行 |
-| critical | 格式化磁盘、删除根目录、fork bomb | 硬拒绝   | 硬拒绝           | 硬拒绝   |
+| 等级     | 示例                              | 严格模式 | 宽松模式（默认） |
+| -------- | --------------------------------- | -------- | ---------------- |
+| safe     | `df -h`、`journalctl -u nginx`    | 自动执行 | 自动执行         |
+| low      | 未知自定义查询命令                | 自动执行 | 自动执行         |
+| medium   | 文件写入、普通权限变更            | 先确认   | 自动执行         |
+| high     | 服务重启、删除、包安装、K8s 变更  | 先确认   | 先确认           |
+| critical | 格式化磁盘、删除根目录、fork bomb | 硬拒绝   | 硬拒绝           |
 
-安全模式在任务开始时锁定，运行中不能切换；需要确认时，对话框必须显示本次锁定模式、目标、风险和完整单行命令。宽松模式明确标注“仅适合隔离测试环境”，它不会降低 critical 硬红线。
+安全模式在任务开始时锁定，运行中不能切换；需要确认时，对话框必须显示本次锁定模式、目标、风险和完整单行命令。critical 在前端与 Rust `guardrail` 都会硬拒绝。旧文档里的「均衡 / 宽松第三级」已合并为宽松。
 
 终端输出被标记为不可信数据，不得将日志中的“忽略规则”等文字当作指令。常见密码、Token、Authorization Header、AWS Key 和私钥块在 Rust 发送 Provider 前脱敏。
 
@@ -77,7 +77,7 @@ OpsXShell 适合吸收 aiops Agent CLI 的执行 Harness，不适合照搬它的
 | ReAct 16 轮                 | 适配为 8 步    | GUI 前台执行，优先快速收敛                                                    |
 | 失败反馈和循环检测          | 已吸收         | 退出码和真实输出回传，连续失败换路，相同命令限次                              |
 | 五级风险                    | 已吸收         | critical 硬拒绝，其他等级按安全模式阈值确认                                   |
-| 三级安全模式                | 已适配         | 严格从 medium、均衡从 high 确认；宽松仍不可绕过 critical                      |
+| 两级安全模式                | 已适配         | 严格从 medium、宽松从 high 确认；critical 前后端均硬拒绝                      |
 | WebSocket 事件流            | 不照搬         | 本地 React/Tauri 没有跨程服务器会话，使用内存状态即可                         |
 | 审计、审批、RBAC            | 不引入         | 属于 aiops/堡垒机，不是本地 SSH 客户端职责                                    |
 | podexec/K8s 专用工具        | 不引入         | `kubectl/helm` 可沿远程 SSH 工具使用，不引入第二套目标和凭据边界              |