审批与安全

把边界写进请求

对账这次投放，起草预算调整建议。不要改 campaign，不要联系代理商。先给我看：现值、建议值、预期影响，再问我批不批。

必须审批的典型动作：外发消息或邀请、发布内容、付款或转账、删除或覆盖数据、改生产、接受法律条款。审批管的是「接下来这一下」，不能撤销已经做完的事。

审批卡片

• 桌面：Allow once / Deny / Always allow
• 手机：Approve once / Deny

看不懂目标就不要点。超时约 10 分钟没人理的卡片，主页可能残留 Approval needed。给 Bot 发一句短消息或重启应用，徽章会掉。

Auto-review

Settings → General → Auto-review：

• Require Approval 拦住匹配动作
• Always Allow 在没有其它阻止理由时放行
• 两条都匹配时，Require Approval 优先

规则要窄。不要写「浏览器里什么都允许」。

密码、2FA、验证码

这些步骤必须 Take over。不要把密码或一次性码发给聊天。Bot 不是密码管理器。

分享 Bot

可以复制公开链接。对方预览并添加的是 配置副本，没有你的电脑、登录、聊天记录。链接会暴露人设。剥掉密钥、客户数据、内网 URL。

删 Bot 不会清电脑

删除只去掉该 Bot 的档案、对话、Routine。共享文件和登录还在。可能还要用就先 Hide。要撤权：在共享电脑上登出网站、卸连接器、删 /workspace 里的敏感文件。