agent-desktop 读的是你屏幕上正在显示的东西。这意味着它的输出——以及它的调试产物—— 和屏幕本身一样敏感。这一页说明哪些数据需要按私密处理，以及可选的 JEV 助手会把数据送到哪里。
哪些输出可能含私密内容
| 来源 | 可能包含 |
|---|---|
snapshot |
界面上的任何文本：文档内容、邮件正文、聊天记录、表单里已填的值 |
clipboard-get |
密码、令牌、私钥、任何用户刚复制过的内容 |
screenshot |
屏幕上的一切，包括其他应用的内容 |
| 命令输出 | 上面这些的 JSON 形式 |
trace 与会话产物 |
一段时间里读过的全部树和截图 |
处理建议
- 保留期最短化。 追踪和会话记录只在排障期间保留，用完就删。
- 不要原样转发。 需要分享一段快照来提问时，先删掉
name和文本值里的真实内容。 - 剪贴板按需读取。 不需要
clipboard-get就不要调用；读到之后不要把返回值留在变量里。 - 截图只给人看。 智能体的判定路径不经过像素，截图不需要成为上下文的一部分。
- 限制落盘目录。 把
trace的输出目录设成受控路径，而不是当前工作目录。
JEV 助手会发数据出去
可选的 JEV 助手 会把屏幕描述发送给你配置的模型服务商。
两点需要明确：
- 它与原生 CLI 彼此独立。不用它，agent-desktop 的全部能力依然可用。
- 用它，就等于开了一条把桌面内容外送的数据通道。发送对象、发送内容都由你的配置决定， 所以在启用之前先确认你配置的是哪个服务商、以及那份屏幕描述里会出现什么。
权限即边界
agent-desktop 能读到的范围，等于系统授予它的范围。
- macOS 的辅助功能权限授予的是启动 agent-desktop 的应用，授出去就意味着那个应用能读所有应用的界面树。
- Windows 的完整性级别划出的是输入边界：管理员应用可以被低完整性的终端读取，但只有同样提权的智能体才能向它发送输入。
- Linux 的边界是图形会话本身：读的是你这个会话里的应用。
按最小必要原则授予，并在任务结束后收回，是唯一稳妥的做法。
其他
- 报告安全漏洞请走仓库的
SECURITY.md，不要开公开 issue。 - 寻求支持看
SUPPORT.md。 - 更多问答在常见问题和仓库的
docs/faq.md。