Песочница ИИ-агента и разрешения Android: где проходит граница действий
Три слоя безопасности для ИИ-агента: среда выполнения, разрешения Android и подтверждение конкретного действия на телефоне с проверяемым результатом.
- Песочница среды выполнения, разрешения Android и подтверждение действия отвечают на разные вопросы безопасности и не заменяют друг друга.
- Android уже изолирует приложения, а разрешения делятся на выдаваемые при установке, запрашиваемые во время использования и специальные; доступ к данным не равен согласию на конкретное сообщение.
- Песочница вроде gVisor может ограничивать контакт с хостом, но доступные файлы и разрешенная сеть все равно остаются доступными рабочей нагрузке.
- В FoneClaw поддерживаемое Android-действие строится вокруг текущего экрана, проверяемого поля, отдельного решения об отправке и восстановления без повторения неопределенного шага.
Три защиты отвечают на разные вопросы
Песочница ИИ-агента и разрешения Android часто обсуждаются как одна тема, но на практике это разные слои. Песочница среды выполнения отвечает на вопрос: что может сделать агентная задача с хостом, файлами и сетью. Разрешения Android отвечают на вопрос: к каким данным и действиям телефона у приложения есть доступ. Подтверждение конкретного действия отвечает на вопрос: согласен ли пользователь именно на этот текст, адресата, файл, настройку или другое последствие.
| Слой | Что контролирует | Чего не одобряет | Что проверять пользователю |
|---|---|---|---|
| Среда выполнения агента | Код, файлы, процесс, сеть, состояние задачи | Кому отправлять сообщение и что делать на Android | Какие файлы и сетевые ресурсы доступны задаче |
| Разрешения Android | Доступ к ограниченным данным и действиям телефона | Правильность получателя, текста или намерения | Какие разрешения нужны именно для этой функции |
| Политика действия | Нужно ли подтверждение перед конкретным шагом | Безошибочность модели или универсальный откат | Что будет видно после выполнения и как проверить результат |
Android сам использует изоляцию приложений: в документации Android о песочнице приложений описано разделение приложений через идентификаторы пользователей Linux, процессы и контроль на уровне ядра. FoneClaw не заменяет эту системную изоляцию; мы работаем внутри модели Android-разрешений и поддерживаемых действий телефона. Для более точного разбора разрешений отдельных навыков полезна статья Безопасность навыков AI-агентов: почему телефону нужны проверки разрешений.
Песочнице все равно нужны ограничения файлов и сети
Изоляция среды выполнения важна, но она не означает «нет интернета» или «нет доступа к данным». В документации gVisor о модели безопасности gVisor описан как дополнительная граница между изолированными приложениями и ядром хоста. При этом рабочая нагрузка в песочнице все равно может использовать сопоставленные файлы и разрешенные сетевые ресурсы, если они ей предоставлены.
Это хороший пример для оценки ИИ-агентов: сама песочница уменьшает прямой контакт с хостом, но не решает, какие данные следует передавать агенту. Если задача получает папку с файлами, токен доступа или сетевой выход, эти ресурсы нужно ограничивать отдельно. Изоляция — часть архитектуры, а не универсальный ответ на вопросы приватности и передачи данных.
Для пользователя это переводится просто: спрашивайте не только «есть ли песочница», но и «что в нее положили». Какие файлы доступны? Есть ли сетевые ограничения? Где хранятся секреты? Какие журналы действий есть? Для сравнения локального и облачного доверия в агентных задачах полезен материал AI agent trust: локальный AI-агент на Android против облачной безопасности.
Доступ Android и подтверждение действия — разные вещи
В обзоре разрешений Android Google разделяет разрешения, которые защищают ограниченные данные и ограниченные действия. Есть разрешения, выдаваемые при установке, разрешения, запрашиваемые во время использования, и специальные разрешения. Даже когда нужный доступ получен, это не означает, что пользователь согласился на любой получатель, любой текст или любую кнопку.
Например, доступ к экрану или редактируемому полю может позволить подготовить черновик. Но согласие на доступ не выбирает адресата, не проверяет смысл сообщения и не решает, нужно ли отправлять его сейчас. Поэтому для телефонных агентов важны два шага: сначала получить минимальный доступ, нужный для функции, затем проверить конкретное действие и его результат.
В FoneClaw поддерживаемые действия Android используют текущее состояние экрана и доступные инструменты. Мы можем определить видимое поле и ввести текст, если сценарий поддержан, но ввод текста не отправляет сообщение и не нажимает Enter. Подтверждение зависит от общей политики и настроек конкретного действия, поэтому для шагов с последствиями стоит выбирать режим, где пользователь видит текст, адресата и итог.
Превратите анализ в проверенный черновик на телефоне
Рабочий пример: удаленная агентная среда подготовила короткий анализ заказа, а владелец хочет отправить клиенту аккуратный ответ на Android. Безопасный маршрут начинается с ручной проверки данных: пользователь переносит только нужный, нечувствительный итог, например «Заказ готов, самовывоз сегодня до 19:00, попросить подтвердить время».
Дальше FoneClaw помогает на телефонном слое. Сначала пользователь выбирает приложение или открывает нужный диалог. Затем FoneClaw читает доступное текущее состояние экрана, чтобы понять, где находится поле ввода. После этого можно подготовить черновик: «Здравствуйте, Анна. Ваш заказ готов. Можно забрать сегодня до 19:00. Подтвердите, пожалуйста, удобное время». Такой ввод помещает текст в видимое редактируемое поле, но не отправляет его.
Перед финальным действием владелец проверяет три вещи: правильный получатель, полный текст и отсутствие лишних данных клиента. Решение об отправке остается отдельным шагом: вручную или через поддерживаемый маршрут с нужным подтверждением. Это особенно важно, если используется настроенная онлайн-модель: переданный экранный или текстовый контекст может обрабатываться выбранным поставщиком модели, а само выполнение на телефоне не доказывает полностью локальную обработку.
Ценность здесь в разделении анализа и телефонного действия: данные переходят на телефон только после осознанного выбора пользователя, а результат проверяется в реальном приложении. Как FoneClaw переводит намерение в видимый Android-шаг, подробнее описано в статье Управление Android ИИ-агентом: намерение, подтверждение и проверка результата. Текущие поддерживаемые возможности собраны на странице возможностей FoneClaw.
Восстанавливайтесь без повторения неопределенного действия
Сбои нужно разбирать по слою, на котором они произошли. Если Android-разрешение отклонено, задача должна остановиться и объяснить, какой доступ нужен и зачем. Если экран изменился, нужно заново прочитать текущий экран, а не использовать старую структуру. Если результат отправки или сохранения неясен, сначала проверьте фактическое состояние приложения.
| Сбой | Безопасное восстановление | Чего избегать |
|---|---|---|
| Нет разрешения | Показать нужный доступ и предложить ручной путь | Продолжать как будто доступ есть |
| Экран изменился | Обновить состояние экрана и снова выбрать видимое поле | Использовать устаревший элемент |
| Неясно, отправлено ли сообщение | Открыть приложение и проверить реальный статус | Повторно отправлять вслепую |
| Сбой в удаленной песочнице | Восстановить состояние вычислительной задачи, если такая возможность есть | Считать, что внешний отправленный результат откатился |
Контрольная точка среды выполнения может вернуть состояние агентной задачи, но не отменяет сообщение, уже ушедшее другому человеку, и не откатывает внешнее действие в Android-приложении. Для подробной диагностики таких случаев используйте руководство Диагностика и восстановление телефонного ИИ-агента: как найти причину сбоя и безопасно повторить шаг.
Спрашивайте доказательства на каждом слое
Оценивая ИИ-агента, спрашивайте по слоям. У среды выполнения: какие файлы, секреты и сетевые ресурсы доступны? У Android: какие разрешения нужны и можно ли выполнить задачу с меньшим доступом? У конкретного действия: кто получатель, какой текст, где результат и как остановиться до внешнего эффекта?
Хорошая архитектура не сводит доверие к одному слову «песочница». Для FoneClaw практическая цель — поддерживаемое действие на телефоне с текущим экраном, понятным разрешением, проверяемым черновиком и восстановлением без повторения неопределенного шага. Именно так песочница ИИ-агента, разрешения Android и политика действия дополняют друг друга.