九件事，按发生的顺序

KernelHub 把员工放在账户这一层：它的角色和技能在被指派的每个工作区里都一样，管理台会如实报告它的环境是不是真的就绪。

KernelHub 不造自己的 Agent，也从不亲自调模型。它治理你已经在用的那些 Agent：它们想做的每一个动作都要经过工作区、权限契约和执行体。

Runtime Router 会挑一个在这台机器上真接得了这条任务的 Runtime。不管跑的是哪一家，它的写、改、执行都经过同一个内建 Tool Server，对照你的授权核过 —— 不是一句请模型自觉的提示词。

这家 Runtime 自己有可验证的开关，KernelHub 把授权落到它的参数上。验证方式是真把命令行拼出来看，不是读它的文档。

这家 Runtime 自己没有这一档的开关，这一格由 KernelHub 在它进程外面加的那道 OS 外层边界守着 —— macOS 上是 seatbelt、Linux 上是 Landlock，这两个平台默认打开；Windows 上这一版默认关闭，那样的机器上这一格印成「—」。它是可选的加固层，不是干活的前提；不管这一格是什么，写、改、执行照样先经 Tool Server 按你的授权和工作区边界核过。

这台机器上证不出有谁守住这一档。这一家会标 NOT_READY —— 那是记账，不是拦路：它照样接活，每一次写、改、执行照样要过你的授权、工作区边界和执行规则。

执行体有一道自己的闸：一条命令到了它这里、却没有所需的授权，就在跑之前被拒掉，不管是哪家模型要跑它 —— 而且它做的每一步都记账。

任务只在它被发到的那个工作区里跑，别处不跑。目录搬家身份不变；任务、记忆和文件一起跟过去。

工作区之间不互通

任务在被下达的那个工作区里跑。权限按设备、按工作区记录，没有全局开关。

你的仓库不会被上传

执行发生在你的机器上。过网络的是任务原话、进度、你要看的 diff，以及审批。

需要一档它没有的权限时，任务在动手之前停下来问你。给一条任务的授权，在那条任务结束的那一刻过期。

任何授权都打不开的凭据路径

凭据路径 —— SSH 私钥、云配置、.env、钥匙串 —— 以及高风险动作，与你批了什么无关地被拒绝。你批一档权限，这份清单一条都不会少。

「就这一次」真的只有一次

为某条任务批的权限只对那条任务、那个工作区生效，任务一进终态立刻失效 —— 靠读时判定，不靠定时清扫。

守不住的时候，它会告诉你

当一条任务会碰到删除 / 迁移这条边界，而接手的 Runtime 表达不了拒绝清单时，KernelHub 会在动手之前停住，请你明确放行这一趟。点头不批出任何一档权限。

六档权限，动手之前先核

读文件、写入文件、执行、联网、推送、删除 / 迁移数据分开授权，按设备、按工作区。不管哪一家 Runtime 在干活，它的写、改、执行都要经过 KernelHub 内建的 Tool Server，先对照这些授权和工作区边界核过再跑 —— 不是一句「请你守规矩」的提示词。

下面就是 v1.0.2 里一条任务真实走过的路 —— 每一个节点在正式产品里都有。

Agent 在你的代码本来所在的地方跑

一个 执行体（icloser）守着你自己机器上的工作区，驱动你本来就装着的 CLI Runtime —— Claude Code、Codex、Antigravity（agy）等。没有云端沙箱，不上传仓库，不做源码镜像。

不留一个没人能答的提示

Runtime 通常会停下来问一个没人在的终端。KernelHub 把那次决定搬到你手里真的拿着的那块屏幕上。

批准一次，同一条任务接着跑 —— 不重跑，你在决定的时候什么也没被做。

要你拿主意的事会来找你

任务缺一档权限时，它会在开工前停下来挂一张卡，带着到目前为止的 diff，以及它到底在申请什么的逐字说明。点一次头，同一条任务接着跑。

任务 · 审批 · 结果

手机不是执行体。它发任务、做批准、读结果。

Live Diff 在任务还在跑的时候就从执行体流上来；文件清单归属到这条任务，同一工作区里别的改动不会混进去。