OpenShell 智能体运行时安全治理：策略引擎、进程隔离与审计实践

1. 从零认识 OpenShell：它到底解决什么问题

第一次听到 OpenShell 这个名字，很多人会下意识以为它又是一个新的命令行工具或者某种容器运行时。实际上，OpenShell 是一个面向 AI 智能体（Agent）的运行时安全与治理框架，核心目标只有一个：让 AI 智能体在真实系统里干活的时候，既能放开手脚，又不会闯祸。你可以把它理解成给智能体套上的一层“可编程护栏”——它规定了智能体能碰什么文件、能访问什么网络、能调用什么工具、能花多少预算，并且在越界的时候直接拦截。

我接触 OpenShell 的契机很实际。去年我在做一个自动化运维助手，让模型去读日志、改配置、重启服务。测试环境跑得好好的，结果有一次它把生产环境的一个配置文件给覆盖了，原因只是模型“觉得”那个配置写错了。那次事故之后我意识到，光靠提示词里写“不要动生产环境”是没用的，模型该动手还是会动手。真正靠谱的做法是在模型和系统之间加一层强制性的策略执行层，OpenShell 就是干这个的。

它适合谁？三类人最该关注。第一类是正在做 Agent 产品的开发者，尤其是那些让智能体直接操作文件系统、数据库、云资源的场景；第二类是企业里负责 AI 平台安全的工程师，需要给多个智能体统一配置权限边界；第三类是研究智能体可靠性的同学，想找一个可观测、可干预的运行时环境来做实验。哪怕你只是用智能体帮自己整理文件、跑跑脚本，OpenShell 也能帮你避免“手滑删库”这种灾难。

需要先说明的是，OpenShell 目前并不是一个已经高度标准化的单一产品，不同团队、不同项目里叫这个名字的东西可能指代不同的实现。本文讨论的是当前业界最主流的那一类形态：一个以策略文件为核心、以进程隔离和系统调用拦截为手段、以审计日志为输出物的智能体运行时治理层。下面所有内容都基于这个定位展开，如果你手上的 OpenShell 是别的形态，思路可以借鉴，具体配置需要对照官方文档调整。

2. 整体设计思路：为什么要在模型外面再包一层

2.1 智能体安全的本质是“最小权限”问题

传统软件的安全模型很清晰：一个进程需要什么权限，就在启动时声明，操作系统负责执行。但智能体不一样，它的行为是运行时动态决定的，模型在每一步都可能产生新的意图。你没法在启动前就知道它今天会不会去读/etc/passwd，会不会往某个外部地址发请求。这就导致传统的静态权限模型对智能体几乎失效。

OpenShell 的设计哲学是把“意图”和“能力”彻底分开。模型负责产生意图，OpenShell 负责决定这个意图能不能被执行。具体来说，它把智能体可能用到的所有能力抽象成几类资源：文件系统路径、网络端点、可执行命令、环境变量、以及外部工具调用。每一类资源都用声明式的策略描述允许或拒绝，策略在智能体启动时加载，运行期间不可被模型修改。这个“不可被模型修改”是关键，很多早期方案失败就失败在策略存在模型能读到的地方，模型会想办法绕过。

2.2 为什么选择进程隔离而不是纯提示词约束

我见过不少团队一开始图省事，只在系统提示词里写一堆“禁止访问敏感目录”“禁止执行危险命令”。实测下来，这种做法的拦截率大概只有六七成，遇到模型“钻空子”或者多轮对话里上下文被污染的情况，基本就失效了。原因很简单：提示词是软约束，模型可以选择不遵守，而且它没有能力真正判断某个操作是否危险。

OpenShell 走的是硬约束路线。它把智能体运行在一个受限的进程环境里，所有系统调用在到达内核之前先经过策略引擎。文件读写走的是挂载命名空间，网络访问走的是网络命名空间加策略路由，命令执行走的是白名单加参数校验。模型即使“想”干坏事，系统调用也会被直接拒绝，返回一个权限错误。这种做法的拦截率接近百分之百，代价是需要额外的配置工作，而且对某些需要动态能力的场景不够灵活。

2.3 策略即代码：可版本化、可审计、可回滚

OpenShell 的策略文件通常是 YAML 或 JSON 格式，这意味着它可以进 Git，可以走代码评审，可以回滚到任意历史版本。这一点在实际运维里价值极大。想象一下，某天你发现智能体行为异常，第一反应是“它最近改了什么策略”，直接git log就能看到。如果策略是散落在各个配置界面里的，排查起来就是噩梦。

策略文件的结构一般包含几个顶层字段：filesystem定义路径白名单和读写权限，network定义允许访问的域名或 IP 段，exec定义可执行命令及其参数约束，resources定义 CPU、内存、磁盘配额，audit定义日志输出位置和格式。下面是一个最小可用的策略示例，我把它放在项目根目录的openshell.policy.yaml里：

version: "1" filesystem: read: - /workspace/data/** - /workspace/logs/** write: - /workspace/output/** deny: - /etc/** - /root/** - /home/*/.ssh/** network: allow: - api.internal.example.com:443 - pypi.org:443 deny: - "*" exec: allow: - python3 - pip - ls - cat deny: - rm - dd - mkfs resources: cpu: "2" memory: "4Gi" disk: "10Gi" audit: path: /workspace/logs/openshell-audit.jsonl level: info

这个策略的意思是：只能读工作区里的数据和日志，只能写输出目录，系统目录一律拒绝；网络只允许访问内部 API 和包管理源，其他全部拒绝；命令只允许 python3、pip、ls、cat，删除类命令直接封死；资源限制在 2 核 4G；所有操作记审计日志。这套配置我用了大半年，拦下过好几次模型试图rm -rf临时目录的操作，也拦下过它想往外部地址发数据的行为。

3. 核心细节拆解：策略引擎、隔离机制与审计链路

3.1 策略引擎的匹配逻辑与优先级

OpenShell 的策略匹配不是简单的“先到先得”，而是有一套明确的优先级规则。理解这套规则能帮你避免很多“明明写了允许却被拒绝”的困惑。优先级从高到低依次是：显式 deny > 显式 allow > 默认 deny。也就是说，如果一条路径同时出现在 allow 和 deny 里，deny 生效。这个设计是刻意的，安全场景下永远应该让拒绝优先。

路径匹配支持三种模式：精确匹配、前缀匹配和通配符匹配。精确匹配就是写死一个路径，比如/workspace/config.json；前缀匹配用/**结尾，比如/workspace/data/**表示 data 目录下所有层级；通配符用*匹配单层，**匹配多层。这里有个坑我踩过：/workspace/*只能匹配/workspace/a，匹配不到/workspace/a/b，要匹配多层必须用/workspace/**。很多新手在这里写错，导致子目录访问被拒。

网络策略的匹配稍微复杂一点。它支持域名、IP、CIDR 段和端口组合。域名匹配是精确匹配加子域通配，比如api.example.com只匹配这个域名，*.example.com匹配所有子域。端口必须显式写出，不写端口默认匹配所有端口，但出于安全考虑建议总是写端口。CIDR 段用标准写法，比如10.0.0.0/8。实测下来，域名匹配的性能比 IP 匹配略差，因为需要做 DNS 解析，如果对延迟敏感，可以预先解析成 IP 写进策略。

3.2 进程隔离的三种实现路径

OpenShell 的隔离能力依赖底层操作系统特性，不同平台实现路径不同。在 Linux 上，主流做法是组合使用 namespace、seccomp 和 cgroup。namespace 负责视图隔离，让智能体看不到宿主机的完整文件系统和网络；seccomp 负责系统调用过滤，把危险调用直接拦掉；cgroup 负责资源限制，防止智能体把机器跑满。这三者组合起来，基本能做到“智能体以为自己在一台独立机器上，实际上被关在笼子里”。

在 macOS 上，情况要复杂一些，因为 macOS 没有 Linux 那样的 namespace。OpenShell 通常退而求其次，用 sandbox-exec 配合文件系统权限控制来实现类似效果。sandbox-exec 是 macOS 自带的沙箱工具，可以定义一套 profile 来限制进程能做什么。实测下来，macOS 上的隔离强度不如 Linux，某些系统调用拦不住，所以如果你的场景对安全要求极高，建议把智能体跑在 Linux 容器里。

Windows 上的支持目前最弱，主要靠 Job Object 做资源限制，文件系统靠 ACL，网络靠防火墙规则。这套组合能防住大部分误操作，但防不住精心构造的绕过。我的建议是，如果非要在 Windows 上跑，至少把智能体放在一个独立的低权限用户下，并且把敏感目录的 ACL 收紧。

3.3 审计日志的字段设计与分析价值

审计日志是 OpenShell 最容易被忽视但价值最高的部分。很多人配好策略就不管日志了，等到出问题才想起来翻，结果发现日志格式看不懂或者关键信息没记。OpenShell 的审计日志通常是 JSONL 格式，每行一条记录，包含时间戳、会话 ID、操作类型、目标资源、决策结果、以及触发决策的策略规则。

一条典型的文件访问日志长这样：

{"ts":"2025-03-15T10:23:41.123Z","session":"sess_abc123","op":"file_read","target":"/workspace/data/input.csv","decision":"allow","rule":"filesystem.read[0]","pid":12345} {"ts":"2025-03-15T10:23:42.456Z","session":"sess_abc123","op":"file_write","target":"/etc/hosts","decision":"deny","rule":"filesystem.deny[0]","pid":12345}

第二条记录就是一次被拦截的越权写入。有了这些日志，你可以做几件事：统计每个会话的越权尝试次数，识别行为异常的智能体；分析被拒绝最多的资源类型，反过来优化策略；在事故复盘时精确还原智能体每一步做了什么。我自己的做法是把日志接到一个简单的分析脚本里，每天跑一次，输出越权尝试的 TOP 10 资源，坚持了几个月，发现模型最常尝试访问的是/tmp和外部网络地址，于是针对性收紧了这两块。

4. 实操过程：从安装到跑通第一个受控智能体

4.1 环境准备与依赖检查

在动手之前，先确认你的环境满足基本要求。OpenShell 对内核版本有要求，Linux 上建议 5.10 以上，因为需要较新的 seccomp 和 cgroup v2 支持。检查命令很简单：

uname -r cat /proc/version

如果内核低于 5.10，某些隔离特性会降级，策略里的部分规则可能不生效。这种情况下要么升级内核，要么接受降级后的安全强度。另外确认 cgroup v2 是否挂载：

mount | grep cgroup2

如果没有输出，说明还在用 cgroup v1，需要在内核启动参数里加systemd.unified_cgroup_hierarchy=1并重启。这一步很多人会忽略，结果资源限制配了不生效，智能体把内存吃满导致宿主机卡死。

依赖方面，OpenShell 通常需要 Python 3.9 以上、以及几个系统库：libseccomp、libcap、libyaml。在 Ubuntu 上一条命令搞定：

sudo apt-get install -y libseccomp-dev libcap-dev libyaml-dev python3-dev

macOS 上用 Homebrew：

brew install libseccomp libyaml

Windows 上建议直接用 WSL2，原生 Windows 的支持不完整，很多策略字段会被忽略。

4.2 安装 OpenShell 与初始化配置

安装方式取决于你拿到的发行形态。如果是 Python 包，直接 pip：

pip install openshell-runtime

如果是二进制发行版，下载对应平台的压缩包解压后把可执行文件放到 PATH 里。安装完成后跑一次版本检查：

openshell --version

接下来初始化配置目录。OpenShell 默认会在~/.openshell/下找策略文件，也可以启动时用--policy指定。我习惯把策略放在项目目录里，跟代码一起版本控制：

mkdir -p my-agent/openshell cd my-agent openshell init --dir ./openshell

这个命令会生成一个模板策略文件和一个示例审计配置。模板里大部分字段是注释掉的，需要你按需打开。我的建议是不要一上来就写复杂策略，先用最小策略跑通，再逐步收紧。

4.3 编写第一份策略并验证语法

把前面那个最小策略示例复制到openshell/policy.yaml，然后验证语法：

openshell policy validate --file openshell/policy.yaml

如果输出policy is valid，说明语法没问题。如果有错误，它会指出具体行号和原因。常见的语法错误包括：YAML 缩进用了 tab、路径没加引号导致*被解析成别名、端口写成字符串而不是数字。验证通过后，可以用--dry-run模式模拟一次策略匹配，看看某条路径会不会被允许：

openshell policy check --file openshell/policy.yaml --op file_write --target /workspace/output/result.json

这个命令会输出allow或deny以及命中的规则。我习惯在正式跑智能体之前，把几个关键路径都 check 一遍，确认策略符合预期。这一步花两分钟，能省掉后面半小时的排查。

4.4 启动受控智能体并观察审计输出

启动智能体的命令通常是：

openshell run --policy openshell/policy.yaml --audit openshell/audit.jsonl -- python3 agent.py

--后面的部分就是你的智能体启动命令。OpenShell 会先加载策略，创建隔离环境，然后在这个环境里执行你的命令。智能体运行期间，所有受控操作都会写进审计日志。你可以另开一个终端实时看日志：

tail -f openshell/audit.jsonl | jq .

jq会把 JSON 格式化，看起来清楚很多。如果看到decision: deny的记录，说明有操作被拦截了，需要判断是策略写太严还是智能体行为异常。我一般会先看被拒的资源是不是真的不该访问，如果是，就保持拒绝；如果是误伤，就调整策略。

4.5 参数计算：资源配额怎么定才合理

资源配额定太松等于没定，定太紧智能体跑不起来。我的经验是按智能体类型分档。纯文本处理的智能体，CPU 1 核、内存 2G 基本够用；涉及模型推理的，CPU 2 到 4 核、内存 8G 起步；涉及大规模数据处理的，按数据量估算，一般每 GB 数据预留 1G 内存和 0.5 核 CPU。

磁盘配额要特别注意临时文件。很多智能体在运行过程中会往/tmp写中间结果，如果磁盘配额只算了输出目录，临时文件会把配额撑爆。我的做法是给/tmp单独设一个上限，比如 2G，并且在策略里允许写/tmp但限制大小。OpenShell 的磁盘配额是按挂载点算的，所以需要把/tmp挂成一个独立的 tmpfs 并设 size 限制。

网络带宽一般不用特别限制，除非智能体涉及大量下载。如果确实需要限速，可以在网络策略里加bandwidth字段，单位是 Mbps。我实测过一个下载型智能体，不限速的时候能把公司出口带宽跑满，限到 50Mbps 之后对任务完成时间影响不大，但对其他服务友好很多。

5. 常见问题与排查技巧实录

5.1 策略明明写了允许，为什么还是被拒

这是最高频的问题，九成以上的原因是路径匹配写错了。前面提过*和**的区别，这里再强调一次：/workspace/*只匹配一层，/workspace/**匹配所有层级。如果你写的是/workspace/data/*，然后智能体去读/workspace/data/sub/file.txt，就会被拒。解决办法是把*改成**，或者把路径写得更具体。

第二个常见原因是大小写。Linux 文件系统区分大小写，策略里的路径必须和实际路径完全一致。我见过有人策略里写/Workspace/Data，实际路径是/workspace/data，结果全部被拒。第三个原因是符号链接。如果智能体访问的是一个软链接，OpenShell 默认按链接指向的真实路径做匹配，而不是链接本身的路径。这种情况下要么在策略里写真实路径，要么在策略里开启follow_symlinks: false让匹配基于链接路径。

排查方法很简单，用openshell policy check逐条测试。如果 check 说 allow 但实际被拒，那就是运行时环境和策略加载环境不一致，检查一下策略文件路径是不是写错了，或者有没有多个策略文件冲突。

5.2 智能体启动就报权限错误，怎么定位

启动阶段的权限错误通常来自三个方面：可执行文件本身没有执行权限、依赖库加载被 seccomp 拦截、或者工作目录不可访问。先看错误信息里的系统调用号，如果是EPERM或EACCES，大概率是 seccomp 拦了某个必要的系统调用。OpenShell 默认的 seccomp 配置比较严格，某些语言运行时（比如 Go 或 Rust 编译的程序）会用到一些不常见的系统调用，需要手动加白名单。

定位方法是开 debug 日志：

openshell run --policy openshell/policy.yaml --log-level debug -- python3 agent.py

debug 日志会打印每一次系统调用的决策过程，包括被拦截的调用号和参数。找到被拦的调用后，在策略的seccomp.allow列表里加上对应的调用名。注意不要图省事直接关掉 seccomp，那样隔离就形同虚设了。

5.3 审计日志太大，怎么管理和轮转

审计日志写多了会占满磁盘，尤其是高频操作的智能体，一天几个 G 很正常。OpenShell 支持日志轮转配置，在audit字段下加rotate子字段：

audit: path: /workspace/logs/openshell-audit.jsonl level: info rotate: max_size: 100MB max_files: 10 compress: true

这样单个文件超过 100MB 就切分，最多保留 10 个，旧的自动压缩。压缩后体积能降到原来的十分之一左右。如果还是太大，可以把level从info降到warn，只记录被拒绝的操作和错误，正常操作不记。但这样会丢失正常操作的审计能力，需要权衡。

我的做法是分级存储：最近 7 天的日志保留完整级别，7 天以上的只保留warn及以上，30 天以上的归档到冷存储。这个策略用 logrotate 配合 OpenShell 的日志格式很容易实现，写个简单的 shell 脚本定时跑就行。

5.4 常见问题速查表

5.5 几个我踩过的坑和独家技巧

第一个坑是策略文件的加载顺序。OpenShell 支持多个策略文件叠加，后加载的会覆盖先加载的。我有一次在项目目录放了一个策略，又在~/.openshell/放了一个，结果项目里的策略被用户目录的覆盖了，排查了半天才发现。现在的做法是启动时显式指定--policy，并且只用一个文件，避免叠加带来的不确定性。

第二个坑是环境变量泄漏。智能体进程会继承启动时的环境变量，如果环境变量里有敏感信息（比如 API key），模型有可能通过某种方式读到。OpenShell 支持在策略里声明env.deny列表，把敏感变量名加进去，运行时会被清空。我建议把所有跟凭证相关的变量都加进去，智能体需要凭证的话通过专门的凭证注入机制传递，而不是走环境变量。

第三个技巧是策略的渐进式收紧。不要一上来就写最严的策略，那样智能体大概率跑不起来，你会花大量时间在调策略上。正确的做法是先写一个宽松策略让智能体跑通，观察审计日志里它实际访问了哪些资源，然后基于实际访问记录逐步收紧。我一般分三轮：第一轮只拦明显危险的（/etc、rm、外部网络），第二轮根据日志把不必要的访问去掉，第三轮加上资源配额和速率限制。这样每轮都有明确的依据，不会误伤。

第四个技巧是给策略加注释。YAML 支持#注释，我习惯在每条规则后面写清楚为什么这么配，比如# 允许读日志目录，用于故障排查。几个月后回头看，没有注释的策略根本看不懂当时为什么这么写。注释还能在代码评审时帮同事快速理解意图，减少沟通成本。

6. 进阶玩法：多智能体协作与动态策略

6.1 多智能体场景下的策略隔离

当你同时跑多个智能体时，策略隔离就变得重要。不能让 A 智能体的策略影响 B 智能体，也不能让它们互相访问对方的工作区。OpenShell 的做法是给每个智能体分配独立的会话 ID 和独立的策略文件，启动时通过--session参数区分。审计日志里也会带上会话 ID，方便按智能体分析。

如果多个智能体需要协作，比如一个负责读数据、一个负责写报告，可以通过共享目录来传递数据。共享目录在策略里单独声明，只允许特定会话读写。我做过一个三智能体协作的项目：采集智能体写原始数据到/shared/raw，分析智能体读/shared/raw写结果到/shared/result，报告智能体读/shared/result写最终报告到/shared/final。每个智能体的策略只开放自己需要的那部分，互相之间看不到对方的其他目录。这套配置跑下来，即使某个智能体行为异常，影响范围也被限制在它的共享目录里。

6.2 动态策略调整的可行方案

策略在运行期间不可被模型修改，这是安全底线。但实际运维中确实有动态调整的需求，比如某个智能体临时需要访问一个新资源。OpenShell 支持通过外部信号触发策略重载，具体做法是给进程发SIGHUP，运行时会重新读取策略文件。这样你可以在不重启智能体的前提下更新策略，前提是策略文件本身是可信的，不能被模型写入。

重载的粒度可以是全量也可以是增量。全量重载简单，直接替换整个策略文件；增量重载需要在策略里定义 patch 规则，复杂度高一些。我的建议是优先用全量重载，配合 Git 管理策略版本，每次调整都走一次提交和评审。这样既有动态性，又有可追溯性。

6.3 与外部系统的集成点

OpenShell 的审计日志可以对接外部系统做实时告警。比如把日志接到消息队列，再用规则引擎匹配decision: deny的记录，超过阈值就发通知。我配过一个简单的告警：单个会话 5 分钟内被拒超过 10 次，就发一条消息到运维群。这个告警帮我及时发现过好几次智能体行为异常，有一次是模型陷入了循环，反复尝试访问一个被拒的路径，如果没有告警，它可能会一直重试到超时。

另一个集成点是凭证管理。智能体需要访问外部 API 时，凭证不应该硬编码在代码里，也不应该走环境变量。OpenShell 支持通过credential字段声明凭证来源，运行时从指定的密钥管理服务拉取，注入到智能体进程的内存里，不落盘。这样即使智能体被攻破，凭证也不会泄漏到文件系统。具体实现依赖你用的密钥管理服务，常见的有 HashiCorp Vault、云厂商的密钥管理服务等。

7. 性能开销与优化建议

7.1 隔离带来的性能损耗实测

任何隔离都有性能代价，OpenShell 也不例外。我在一台 4 核 8G 的机器上做过对比测试：同样的 Python 脚本，裸跑和套 OpenShell 跑，文件读写密集型任务的耗时增加了约 15%，网络请求密集型任务增加了约 8%，CPU 密集型任务增加了约 3%。这个开销主要来自系统调用拦截和审计日志写入。

15% 听起来不少，但考虑到它换来的是接近百分之百的越权拦截率，我认为是值得的。如果实在对性能敏感，可以调低审计级别，把info降到warn，日志写入量能减少 90% 以上，性能损耗降到 5% 以内。另一个优化点是策略匹配的缓存，OpenShell 默认会缓存最近匹配过的路径，命中缓存时几乎无开销。缓存大小可以在配置里调，默认 1000 条，高频场景可以调到 10000。

7.2 什么时候不该用 OpenShell

OpenShell 不是万能的，有些场景用它反而添乱。第一，纯离线的一次性脚本，跑完就扔，没有安全顾虑，套 OpenShell 纯属浪费时间。第二，对延迟极度敏感的场景，比如高频交易，几毫秒的开销都不可接受，这种场景应该用更轻量的方案，比如直接在代码里做权限检查。第三，智能体本身就在一个已经高度隔离的环境里跑（比如独立的虚拟机或专用容器），再套一层 OpenShell 属于重复隔离，收益递减。

判断标准很简单：如果智能体能造成的最大破坏你能接受，就不用 OpenShell；如果不能接受，就用。我自己的原则是，只要智能体有写权限或者网络访问权限，就上 OpenShell。只读且不联网的智能体，可以酌情省略。

7.3 优化策略匹配效率的几个手段

策略文件越大，匹配越慢。如果你的策略有几百条规则，启动时的加载和运行时的匹配都会变慢。优化手段有几个：一是把最常用的规则放在前面，OpenShell 是按顺序匹配的，命中就返回；二是合并相似规则，比如把/workspace/a/**、/workspace/b/**、/workspace/c/**合并成/workspace/{a,b,c}/**；三是定期清理不再使用的规则，我每季度会 review 一次策略，把过去三个月没有命中记录的规则删掉。

还有一个容易被忽视的点是路径的规范化。如果策略里的路径有冗余的..或.，匹配时需要先规范化，增加开销。写策略时尽量用规范化后的绝对路径，避免..。OpenShell 在加载策略时会做一次规范化，但运行时如果智能体传入的路径不规范，还是会有额外开销。可以在策略里开启strict_path: true，强制要求路径规范化，不规范的直接拒绝。

8. 写在最后：一些个人体会

用 OpenShell 这一年多，最大的感受是：智能体的安全不是靠“信任模型”实现的，而是靠“不信任模型”实现的。你越早接受这个前提，越早开始用强制性的策略层，踩的坑就越少。我见过太多团队在提示词里反复强调“不要做危险操作”，然后某天被一个精心构造的输入绕过，造成不可逆的损失。OpenShell 这类工具的价值就在于，它把安全从“模型的自律”变成了“系统的强制”。

另一个体会是，策略要跟着业务走，不能一劳永逸。业务变了，智能体的行为模式变了，策略也得跟着调。我现在的习惯是每个月 review 一次审计日志，看看有没有新的访问模式，有没有被拒但实际合理的操作，然后相应调整策略。这个过程有点像给花园除草，不勤快的话，要么杂草丛生，要么把花也一起拔了。

最后分享一个小技巧：给策略文件加一个metadata字段，记录版本号、负责人、最后修改时间。这个字段 OpenShell 不解析，纯粹给人看的。别小看这个字段，当你有十几个智能体、每个都有自己的策略文件时，没有元数据你根本分不清哪个是哪个。我现在的策略文件开头都长这样：

metadata: version: "2.3" owner: "platform-team" updated: "2025-03-15" description: "数据采集智能体策略，收紧网络访问"

多写这几行，未来能省很多事。