九件事，按發生的順序

KernelHub 把員工放在帳戶這一層：它的角色和技能在被指派的每個工作區裡都一樣，管理台會如實回報它的環境是不是真的就緒。

KernelHub 不造自己的 Agent，也從不親自呼叫模型。它治理你已經在用的那些 Agent：它們想做的每一個動作都要經過工作區、權限契約和執行體。

Runtime Router 會挑一個在這臺機器上真接得了這條任務的 Runtime。不管跑的是哪一家，它的寫、改、執行都經過同一個內建 Tool Server，對照你的授權核過 —— 不是一句請模型自律的提示詞。

這家 Runtime 自己有可驗證的開關，KernelHub 把授權落到它的引數上。驗證方式是真把命令列拼出來看，不是讀它的文件。

這家 Runtime 自己沒有這一檔的開關，這一格由 KernelHub 在它程序外面加的那道 OS 外層邊界守著 —— macOS 上是 seatbelt、Linux 上是 Landlock，這兩個平台預設開啟；Windows 上這一版預設關閉，那樣的機器上這一格印成「—」。它是可選的加固層，不是做事的前提；不管這一格是什麼，寫、改、執行照樣先經 Tool Server 按你的授權和工作區邊界核過。

這臺機器上證不出有誰守住這一檔。這一家會標 NOT_READY —— 那是記帳，不是攔路：它照樣接活，每一次寫、改、執行照樣要過你的授權、工作區邊界和執行規則。

執行體有一道自己的閘：一條指令到了它這裡、卻沒有所需的授權，就在跑之前被拒掉，不管是哪家模型要跑它 —— 而且它做的每一步都記帳。

任務只在它被送到的那個工作區裡跑，別處不跑。目錄搬家身分不變；任務、記憶和檔案一起跟過去。

工作區之間不互通

任務在被下達的那個工作區裡跑。權限按裝置、按工作區記錄，沒有全域性開關。

你的倉庫不會被上傳

執行發生在你的機器上。過網路的是任務原話、進度、你要看的 diff，以及核准。

需要一檔它沒有的權限時，任務在動手之前停下來問你。給一條任務的授權，在那條任務結束的那一刻過期。

任何授權都打不開的憑據路徑

憑據路徑 —— SSH 私鑰、雲配置、.env、鑰匙串 —— 以及高風險動作，與你批了什麼無關地被拒絕。你批一檔權限，這份清單一條都不會少。

「就這一次」真的只有一次

為某條任務批的權限只對那條任務、那個工作區生效，任務一進終態立刻失效 —— 靠讀時判定，不靠定時清掃。

守不住的時候，它會告訴你

當一條任務會碰到刪除 / 遷移這條邊界，而接手的 Runtime 表達不了拒絕清單時，KernelHub 會在動手之前停住，請你明確放行這一趟。點頭不批出任何一檔權限。

六檔權限，動手之前先核

讀檔案、寫入檔案、執行、聯網、推送、刪除 / 遷移資料分開授權，按裝置、按工作區。不管哪一家 Runtime 在做事，它的寫、改、執行都要經過 KernelHub 內建的 Tool Server，先對照這些授權和工作區邊界核過再跑 —— 不是一句「請你守規矩」的提示詞。

下面就是 v1.0.2 裡一條任務真實走過的路 —— 每一個節點在正式產品裡都有。

Agent 在你的程式碼本來所在的地方跑

一個 執行體（icloser）守著你自己機器上的工作區，驅動你本來就裝著的 CLI Runtime —— Claude Code、Codex、Antigravity（agy）等。沒有雲端沙箱，不上傳倉庫，不做原始碼映像。

不留一個沒人能答的提示

Runtime 通常會停下來問一個沒人在的終端。KernelHub 把那次決定搬到你手裡真的拿著的那塊螢幕上。

核准一次，同一條任務接著跑 —— 不重跑，你在決定的時候什麼也沒被做。

要你拿主意的事會來找你

任務缺一檔權限時，它會在開工前停下來掛一張卡，帶著到目前為止的 diff，以及它到底在申請什麼的逐字說明。點一次頭，同一條任務接著跑。

任務 · 核准 · 結果

手機不是執行體。它送任務、做核准、讀結果。

Live Diff 在任務還在跑的時候就從執行體流上來；檔案清單歸屬到這條任務，同一工作區裡其他的變更不會混進去。