HeartBeatAgents 如何为代表你执行代码和发起 HTTP 请求的智能体实施纵深防御。
能够执行代码并调用外部服务的智能体，需要即便在智能体自身推理出错时也依然成立的安全边界。HeartBeatAgents 的设计原则是：每一道边界都物理上不可绕过——在智能体代码无法绕开的层级上强制执行，而不仅仅是善意地加以约束。
七种机制
- 凭证代理：智能体获得的是不透明的句柄，而非真实的 OAuth 令牌。真实凭证只在 HTTP 请求发生的那一刻才会被注入，且永远不会暴露给 LLM 本身。
- 出站策略：读操作与写操作被区别对待。公共主机可通过 GET 访问；POST/PUT/PATCH/DELETE 仅限用于已批准的集成端点，且强制要求 HTTPS。
- DNS 重绑定防护：DNS 解析、IP 校验以及 TCP 连接本身都在网络栈层面原子化完成。
- 出站代理：所有出站流量都会经过运行在隔离 Docker 容器中、由内核强制执行
iptables规则的网络层代理。 - 令牌清理：一个基于模式匹配的清理器会检查每一个输出边界（LLM 上下文、日志、工具调用历史），在 OAuth 令牌、API 密钥和 JWT 泄露之前将其清除。
- WebSocket 身份验证：连接需要提前提供身份验证令牌；在接受连接之前，会验证其签名、有效期以及所属组织。
- 容器加固：智能体以非 root 身份运行，削减 Linux 权限能力，使用只读根文件系统，按组织隔离容器，并强制执行资源限制。
这对日常使用意味着什么
- 你永远不需要把裸露的 API 密钥粘贴到智能体的提示词或常驻指令中。有关连接如何进行身份验证，请参见集成指南。
- 吊销某个集成的访问权限是即时且彻底的（参见配置）。
- 采用自托管方式不会削弱以上任何一点：无论 HeartBeatAgents 运行在你的笔记本电脑上还是你自己的服务器上，相同的容器边界都同样适用（参见自托管）。
这是如何被核查的，而不只是被设计出来的
密钥扫描会在 CI 中对每一次提交运行，并作为预提交检查执行，此外还会定期对整个提交和标签历史进行扫描，因此即便有凭证不慎混入过去的某次提交，也不会因此被长期隐藏。这类控制措施是安全审查可以要求查看证据的对象，而不仅仅是本页所宣称的一项政策。
开发环境与生产环境的安全在结构上被严格分离，而不只是在文档中写明有所不同：启动时若检测到默认或占位符密钥会拒绝运行，除非通过一个明确的、会被高调记录到日志中的标志，主动将本地安装切换到较为宽松的开发模式。不存在某个会悄悄削弱生产安全性而不被任何人察觉的中间设置。
文件夹访问
智能体只能访问你明确共享的那部分文件系统。从设置 → 文件夹访问共享一个文件夹后，智能体便可以读取它；除非你将其标记为只读，否则智能体也可以在其中写入。共享文件夹之外的任何内容都完全无法访问。系统目录和凭证存储无论你指向哪个路径，都一律禁止被共享。