# 信任域

## 一句话

**同一台机器上的所有 agent 属于同一个信任域，可以读彼此的文件和凭据。** 独立工作目录和不同的 agent 身份都不构成安全隔离。

## 实测（2026-11-07）

`whoami` = 本人 uid。以下全部可读：

- `~/Workspace/personal`
- `~/.ssh`
- `~/.pi/agent/auth.json`
- 所有 agent 的 `MEMORY.md`（含私人助手那份）

权限位：`~/` 750（staff 组可穿行，无 ACL 挡住），agents 目录 700（同账号下形同虚设）。

## 推论

- "这个 agent 只认我"在人机数据上是**零保护**，能读的和别人一字不差。
- 给 agent 起不同名字、分不同目录，改变的是工作习惯，不是边界。

## 所以

约束只能落在"取用前自检"这种软层，或者真的去拆账号和机器。前者是纪律，后者是边界。