信息层级：【有据可查】= 附官方文档或可信来源链接；【社区共识】= 社区用户普遍经验，未经官方确认；【待考察/推测】= 推测或暂未能核实，请谨慎对待。
0. 先说结论（太长不看版）
| 你的情况 | 参考倾向（仅供参考） |
|---|---|
| 完全新手，怕 AI 把电脑搞坏 | 优先选能显示并验证当前沙箱和审批策略的工具；DSH 的插件默认值不等于新会话默认，Codex 也应先检查当前会话权限 |
| 习惯 IDE、想边看边改 | Cursor / Qoder / ZCode 这类桌面 IDE 型 |
| 喜欢终端、要脚本化/CI | Claude Code、Codex CLI、Grok Build、dsh headless |
| 不写代码，只想办公自动化 | WorkBuddy、千问办公（Qwen Work）这类"办公 Agent" |
| 想要 7×24 的"私人助理"、接聊天软件 | 龙虾类（OpenClaw 等）——但安全风险最高，务必隔离 |
作者观点：对新手来说，"沙箱（先把 AI 关进笼子里）"可能比"权限弹窗（AI 每做一步都问你）"更友好。原因见第 3 节。这是观点，不是定论。
1. 什么是"编程 Agent"？一张图看懂
- 模型负责"想"，**Harness（外壳）**负责"做"：读文件、跑命令、调工具。
- 同一个模型放进不同外壳，体验可能差很多——这就是为什么要横评"外壳"。【社区共识】
- 安全闸门是本文重点：主流有两种思路——沙箱与权限确认（弹窗），很多产品两者都有，只是默认侧重不同。
2. 逐个点评
2.1 dsh（DeepSeek Harness）
- 【有据可查】DeepSeek 官方开源的 Agent Harness，命令行名为
dsh，MIT 协议，基于 Cordis 插件框架，主打"一切皆插件"（模型、工具、技能、会话、沙箱、存储、调度、UI 都是插件）。目前处于 developer preview，README 明确写着"会有破坏兼容性的变更"。 - 【有据可查】启动方式：
npx @deepseek-ai/dsh web（默认在http://127.0.0.1:3080打开 Web UI）；另有headless、sdk、acp等 profile。来源：apps/cli README - 【有据可查】提供 Standard / Code / Minimal / Creator 等模式；官网标注"Agent teams、自动审批审查、定时任务、语音输入"为 Experimental（实验性）。
- 优点：开源、可拆可换、沙箱设计严谨（见第 3 节）。
- 缺点：预览版、变动频繁；"一切皆插件"意味着新手需要理解 profile/插件概念，上手曲线可能更陡。【待考察/推测】
2.2 Codex（OpenAI）
- 【有据可查】OpenAI 的编程 Agent，含 CLI、IDE 插件、桌面端与云端（Codex Web / Cloud）。CLI 的沙箱模式有
read-only、workspace-write、danger-full-access，审批策略有on-request、never等；workspace-write下网络默认关闭。 - 优点：沙箱 + 审批两层组合清晰；与 ChatGPT 订阅打通（详见Codex 云端任务与 ChatGPT：从需求到代码审查）。
- 缺点：账号与支付门槛（对部分地区用户而言）较高。【社区共识】
2.3 Claude Code（Anthropic）
- 【有据可查】终端为主的编程 Agent，有两套互补机制：权限规则（决定动作是放行、询问还是拒绝）与沙箱（对 Bash 等命令做操作系统级的文件/网络限制，
/sandbox开启）。默认沙箱下命令只能写工作目录和临时目录。 - 优点：社区普遍认为其 Agent 工作流成熟、生态（Skills、MCP、Hooks）丰富。【社区共识】
- 缺点：Anthropic 服务地区有限制（见 支持国家/地区），不支持地区用户的账号风险较高（网络、地区与建站基础：把地址、账号和服务器分清）。【有据可查 + 社区共识】
2.4 ZCode（智谱 Z.ai）
- 【有据可查】智谱推出的桌面"Agentic Development Environment（ADE）"，围绕 GLM-5.3 优化，自研 ZCode Agent。来源：ZCode Docs
- 【有据可查】四种执行模式：Ask before changes（默认，每次改文件/跑命令前询问）、Edit automatically（自动改文件，命令仍需确认）、Plan（先出计划）、Full access（更少确认）；弹窗选项有 Allow / Always Allow / Reject / Always Reject。来源：Safety Confirmation
- 【有据可查】有
/goal目标模式，自动多轮推进直到验证完成或达到预算。来源：Goal Mode - 优点：弹窗把"即将执行的具体命令/改动"摆在你面前，透明。
- 缺点：新手可能看不懂命令就点"允许"，弹窗的保护效果依赖用户判断力（第 3 节）。【待考察/推测】
2.5 Cursor
- 【有据可查】基于 VS Code 的 AI IDE，有 Agent 模式、终端命令自动运行设置、规则（Rules）、MCP 等。文档：https://docs.cursor.com/
- 优点：IDE 体验好、可视化 diff、模型可选多。【社区共识】
- 缺点：订阅按用量计费规则曾多次调整，需关注官方定价页。【社区共识，具体以官网为准】
- 【待考察/推测】Cursor 终端沙箱的具体平台支持与默认值随版本变化，本文未逐项核实，请查阅其最新文档。
2.6 Grok Build（xAI）
- 【有据可查】xAI 的终端编程 Agent，支持 TUI、headless（脚本/CI）、ACP（接入 IDE），支持 AGENTS.md、插件、Hooks、MCP、子代理（subagents）、worktree；可配置自定义模型（
~/.grok/config.toml）。有--always-approve选项（自动批准所有工具调用）。官网列出 "Sandboxed execution"。 - 【有据可查】安装：
curl -fsSL https://x.ai/cli/install.sh | bash或npm install -g @xai-official/grok。来源：Enterprise - 注意：官网页面上的品牌名与模型版本号（如 Grok 4.6 / 4.7）在不同页面显示不一致，说明更新频繁，请以官网为准。【有据可查（页面现象）】
2.7 WorkBuddy（腾讯）
- 【有据可查】腾讯出品的"全场景 AI 办公工作台/智能体桌面工作台"，面向职场全角色：自然语言下达任务，可自主拆解、调用工具、读写授权的本地文件夹，交付文档、表格、PPT、分析报告。企业版有共享 VPC/专享 VPC/私有化部署。
- 【有据可查】腾讯的编程主力产品是同矩阵的 CodeBuddy（插件/IDE/CLI 三形态），WorkBuddy 更偏办公。来源：WorkBuddy Enterprise 产品介绍
- 定位提示：严格说 WorkBuddy 不是纯"编程 Agent"，放在这里是因为它代表"非程序员也能用的 Agent"这一类。
2.8 龙虾类（OpenClaw 等）
- 【有据可查】OpenClaw（中文社区俗称"龙虾"）是开源、自托管的 AI 助理/智能体网关，可通过 Telegram、Discord、WhatsApp 等聊天软件指挥，读写文件、执行命令、浏览网页。官网：https://openclaw.ai/，文档：https://docs.openclaw.ai/zh-CN
- 【有据可查】国内媒体报道国家互联网应急中心曾就 OpenClaw 多个漏洞发布风险提示（腾讯新闻，2026-03）；中文文档提供
openclaw security audit安全审计命令。 - 【待考察/推测】"龙虾类"一词在社区泛指 OpenClaw 及其衍生/同类项目，边界不清，本文不罗列未核实的衍生项目。
- 风险提示：这类工具常驻后台、能被聊天消息驱动，等于"有人能通过聊天窗口远程操作你的电脑"。务必在隔离环境（虚拟机/独立机器/容器）中运行，并限制权限。【社区共识】
2.9 Qoder（阿里）
- 【有据可查】阿里的 Agentic 编程平台，提供 Qoder IDE、CLI、JetBrains 集成，以及用于长任务委托的 Quest 模式（单 Agent / 多 Agent "Experts"）。来源：https://qoder.com/en、Docs
- 【有据可查】另有面向国内的 Qoder CN 系列：docs.qoder.cn
- 优点：对国内网络更友好的可能性较大（有 CN 版）。【待考察/推测】
2.10 Qwen Work（千问办公 / QwenWork）
- 【有据可查】阿里通义推出的 AI 办公 Agent 平台，可调用文件、技能、连接器、定时任务，交付 Word/Excel/PPT/PDF/网页/代码等；网页端可钉钉扫码或中国大陆手机号登录。
- 与 WorkBuddy 同属"办公 Agent"一类。
3. 重点：两种安全模式——dsh 的"沙箱" vs ZCode 的"权限弹窗"
3.1 用一个比喻理解
| 沙箱（dsh 默认思路） | 权限弹窗（ZCode 默认思路） | |
|---|---|---|
| 比喻 | 把实习生安排在一间只放了项目资料的房间里，房门锁着 | 实习生在整栋楼里干活，但每开一扇门都要打电话问你 |
| 谁来把关 | 操作系统机制（自动、不累） | 你本人（需要判断力、会疲劳） |
| 失误时 | 越界操作直接失败（fail-closed） | 你点错"允许"就真的执行了 |
| 打扰程度 | 低（笼子里随便折腾） | 高（频繁确认，容易"点点点"） |
| 灵活性 | 需要越界时得调整策略 | 每次可以精细决定 |
3.2 dsh 的沙箱到底限制了什么？【有据可查】
来源：Process Sandbox 文档、Plugin Config Catalog、dsh-sandbox 插件说明
- 三种模式：
read-only（只读）/workspace-write（只能写工作区）/danger-full-access（完全放开）。这三种模式只约束"文件效果"。 - 插件缺省值：
dsh-sandbox-policy的mode缺省为read-only，文档称之为 "fail-safe default"；但 profile 的组合配置、权限预设和会话记录可能覆盖它，不能据此断言新会话默认只读。 - 实现：Linux 用
bwrap或 Landlock，macOS 用 Seatbelt（sandbox-exec），Windows 用 ACL 受限令牌；还有 SSH 远程后端。 - fail-closed：没有可用的沙箱后端时会报
SANDBOX_UNAVAILABLE错误，文档明确"不允许静默地不受限放行"。 - 边界：它是"同一世界（same-world）"的限制——与宿主共享文件系统和内核，不是容器或虚拟机。
3.3 ZCode 的权限弹窗怎么工作？【有据可查】
- 默认模式 "Ask before changes"：每次改文件或跑命令前都要确认。
- 高权限/全自动模式开启时，工具栏会持续显示风险状态。
3.4 为什么本篇判断"沙箱可能更适合新手"？
以下为作者观点，属【待考察/推测】，欢迎反驳。
- 新手往往看不懂命令。弹窗把
chmod -R 777 ~摆在面前，新手可能也不知道危险在哪。弹窗的安全性 ≈ 用户的判断力。 - "确认疲劳"：弹多了，人会习惯性点"Always Allow"，最后等于没防护。【社区共识：这一现象在安全领域常被称为 consent/approval fatigue】
- 沙箱的默认值替你做了判断：dsh 默认只读，越界就失败，不需要你懂。
- 但沙箱不是万能的：
- dsh 沙箱主要约束文件；网络、凭据泄露等风险需要其他机制配合。【有据可查：文档注明 mode 仅针对 file effects】
- 沙箱失败会让新手困惑"为什么命令跑不了"，需要学会看报错。
- 很多产品其实两者兼有（Codex、Claude Code 都是"沙箱 + 审批"组合），最终更推荐组合使用。
安全模式定位（主观示意，非测量数据）
| 打扰少 | 打扰多 | |
|---|---|---|
| 依赖系统机制（沙箱） | 🟢 理想区：dsh 默认只读沙箱；Codex 沙箱 + 审批 | 🟡 稳但烦 |
| 依赖用户判断（弹窗） | 🔴 最危险：各家全自动/YOLO 模式 | 🟠 靠人盯：ZCode 默认询问模式等纯弹窗方案 |
上表与箭头只表示本文对"新手友好度"的主观排序，不是测评数据。
4. 横评总表
| 工具 | 出品方 | 形态 | 主要安全机制 | 适合人群 | 来源层级 |
|---|---|---|---|---|---|
| dsh | DeepSeek | Web UI / CLI / SDK / ACP（桌面版见官网） | 沙箱默认只读 + 审批 | 喜欢折腾、重视安全默认值 | 有据可查 |
| Codex | OpenAI | CLI / IDE / 桌面 / 云端 | 沙箱 + 审批策略 | ChatGPT 订阅用户 | 有据可查 |
| Claude Code | Anthropic | CLI / IDE | 权限规则 + 可选沙箱 | 重度开发者 | 有据可查 |
| ZCode | 智谱 | 桌面 ADE | 四档执行模式 + 弹窗 | 喜欢可视化把关 | 有据可查 |
| Cursor | Anysphere | IDE | 自动运行设置/白名单等 | IDE 用户 | 部分待考察 |
| Grok Build | xAI | CLI / TUI / ACP | 审批（可 always-approve）、沙箱执行 | 终端用户 | 有据可查 |
| WorkBuddy | 腾讯 | 桌面办公 Agent | 授权文件夹 | 非程序员 | 有据可查 |
| OpenClaw 等 | 开源社区 | 自托管网关 | 需自行加固 | 进阶玩家 | 有据可查 + 风险 |
| Qoder | 阿里 | IDE / CLI / JetBrains | 详见官方文档 | 国内开发者 | 部分待考察 |
| Qwen Work | 阿里通义 | Web / 钉钉 | 平台托管 | 办公用户 | 有据可查 |
各工具的价格、免费额度、模型列表变化太快，本表刻意不列价格。
5. 怎么选？一张决策图
6. 本篇无法核实/需谨慎的点
- Cursor、Qoder 的沙箱默认值与具体平台支持：未逐条核实。
- "龙虾类"的范围：除 OpenClaw 外未核实其它项目。
- 所有"适合人群"均为主观判断。
- 各家"谁更强"没有结论——请看订阅、支付与模型判断：先看账单，再看结果的"结果导向"判断法。
小白练习：把本文流程逐项走通
练习目标：选出一个适合当前任务和电脑环境的工具。
上文已介绍概念、配置和操作示例。下面侧重第一次实际操作时的顺序、检查点和结果核对；需要查具体参数时回到对应小节。命令逐条输入，看到上一条的结果后再继续。
-
先写下今天要完成的一件事，例如修改一个网页按钮，或整理三份会议记录。编程与办公任务分开比较。
-
打开候选工具的官方文档，确认自己的操作系统有对应安装方式；记录登录方式和计费来源。
-
在电脑上新建一个只放练习材料的文件夹。先让候选工具列出文件和说明内容，查看它有没有请求权限。
-
提出一个可验证的小改动，例如把练习网页标题改成指定文字。先观察权限提示，再检查实际修改的文件。
-
用同一份原始材料测试另一个工具，分别记录完成情况、耗时、费用和人工介入次数。按结果选择，不把本文的主观星级当作实测成绩。
默认权限：先看当前会话
【有据可查】DSH 官方权限预设表目前列出 workspace-write + ask 与 danger-full-access + never。defaultPreset 未设置时，按组合后的沙箱与审批默认值推导；已有会话还可能保留自己的选择。表中有某个预设，不代表每个新会话都选它。
【操作补充】首次使用先打开当前会话的 Permissions，核对沙箱模式、审批策略和工作区路径。要只读练习时，确认实际文件策略已是 read-only；仅在提示词中说“不要改文件”不会改变强制权限。
【有据可查】Codex 官方说明，启动时的建议还会考虑目录是否受版本控制、是否已信任和安装配置。可用 /permissions 与 /status 核对，不能把文章中的推荐组合当作这台电脑已经生效的权限。
核对来源：DeepSeek 官方：沙箱策略插件说明；DeepSeek 官方：Permission Presets；OpenAI 官方：Agent approvals & security。