关于规则4文件访问的限制，我理解目前是通过检验调用read工具的path去软限制。但是并不万全吧。比如大模型并没有调read工具 而且调用bash去访问了外部文件，当然bash层面也可以再添加正则。不过bash命令太灵活，正则是堵不完的。那是否要考虑类似code agent的os 级别的沙箱隔离呢，真正的防止沙箱逃逸，如果这样做了 研发的成本也大 有没有必要😃