TestingCatalog 发现 Gemini 桌面应用隐藏沙箱选项：无需逐次批准即可访问 Mac 上的任意文件

10 月 2 日，AI 资讯账号 TestingCatalog 在与网站上的中报告：Gemini 桌面应用里出现一项尚未公开的「Additional sandbox options」（附加沙箱选项）设置，启用后 Gemini 可获得 TestingCatalog 所称的「Full Access」computer use（电脑操作）权限，无需逐次征求许可，即可读取、创建、修改或删除 Mac 上任意位置的文件，包括已连接文件夹之外的文件，以及设备上属于他人的文件；它也无需为每个连接单独获得批准，即可收发网络数据，并通过 Mail、Safari、Messages 等应用执行操作。

弹窗同时写明，并非一切都无需批准：涉及购买与转账、账户创建、法律条款、敏感信息的动作，仍会先征求确认。上述内容来自对未发布功能界面的截图观察，该设置仍处于隐藏状态。按 TestingCatalog 文章中的说法，这些能力目前关联受信任测试（trusted testing），Google 尚未宣布它们何时面向普通用户；帖文里关于「很可能由 Gemini 4 驱动」的说法，则只是作者的推测。

「Additional sandbox options」与三类免逐次批准的操作

帖文称，这是新近加入 Gemini 桌面应用的一项设置，目前「仍处于隐藏状态」；文章补充说，它位于 computer use 区块。截图显示，弹窗叠在一个标题为「Task settings」的设置页面上，左侧栏列有 Tasks、Computer use、Extensions、Debug 等条目，弹窗底部是「No, thanks」与「Enable additional options」两个按钮。

弹窗文案如下（据截图译出）：

启用 additional sandbox options 后，你将扩大 Gemini 在 Mac 上能做的事和能访问的范围。取决于你启用哪些设置，Gemini 可能被允许在行动前不先征求你的许可，包括：

读取、创建、修改或删除 Mac 上任意位置的文件，包括已连接文件夹之外的文件，以及存放在你设备上、属于他人的文件；

无需为每个连接获得你的批准，即可收发网络数据，包括访问你已登录的网站、API 和服务；

与 Mac 上的其他应用（如 Mail、Safari 或 Messages）通信，并通过它们执行操作。

仍要先问用户的四类动作

弹窗下半段是另一份清单，以「Gemini 被设计为在以下行为前征求你的确认」开头：购买产品或代你转账；为你创建在线账户；代你接受法律条款（如服务条款）；修改关于你的敏感信息。

有回复者把重点放在了两份清单的落差上。在回复中写道，删除文件与收发网络数据不在确认清单之列，而「联网访问加上完整的文件访问」正是提示注入（prompt injection）能够利用的组合：智能体读取的恶意网页可以指示它上传你的文档，全程没有任何一步会先询问。该账号给出的判断是，更安全的分界线应划在「可撤销的动作与不可撤销的动作」之间，而不是「钱与其他一切」之间。另一位回复者同样把确认线概括为购买与法律条款，并指出删除文件、通过 Mail 发消息都不会触发询问，「最难撤销的事恰恰在无人看管时运行」。

与现有沙箱的差别：从指定文件夹到任意文件

要看这项设置的跨度，先要看清 Gemini 桌面应用目前的授权方式。Google 在 6 月 30 日的中宣布把智能体 Gemini Spark 带到 macOS 应用，并写明 Spark「只能访问你允许它使用的文件」；该功能以 Beta 形式面向美国年满 18 岁的 Google AI Ultra 订阅者开放。

TestingCatalog 在 9 月 5 日的中记录了更近的形态：桌面应用测试中的 Assign 模式让用户先选定一个文件夹（可设为默认、沿用上次或为任务新选），使智能体「保持在那个特定范围内」；computer use 技能让任务可以操作本地应用。这些功能当时都处于封闭测试。

新弹窗把范围推到了「已连接文件夹之外」，并把「不先征求许可」列为可选项。TestingCatalog 的文章据此判断，该设置指向一种通用型的 computer use 模式，让 Gemini 执行跨越桌面的更长工作流，而不再局限于特定文件夹或预定义权限。

指向 Gemini 4 Argon 的推测

帖文推测，这些 computer use 功能「很可能」由 Gemini 4 驱动。背景是：Google 在 9 月 30 日的中发布 Gemini 4 Argon，先通过 Fairwind 计划向一批受信任的网络防御者开放，之后逐步扩大范围，Google 称将先从付费 API 客户与 Google AI Ultra 订阅者开始。Google 为 Argon 发布的把 computer use 列为评估方向，涵盖 Agent's Last Exam 与 OSWorld 2.0 两项基准。

TestingCatalog 的文章据此把 Argon 称为驱动更自主桌面工作流的「合理候选」，但同时写明：Google 没有确认 Argon 与桌面应用里这些新能力之间的任何关联。更早的信号来自 9 月 5 日的报道：应用代码中的痕迹显示，Google 正在为下一个主要模型做准备，「可能是 Gemini 4」。

没有可靠的上线时间表，回复追问 Windows 版

TestingCatalog 的文章称，这些 computer use 变化仍在开发中，出现在受信任测试里并不能提供可靠的上线时间表：有些 Gemini 能力很快从测试走向发布，有些则可能被锁住数月。帖文回复中，多名用户追问 Windows 版是否会获得同样的选项，而弹窗文案与帖文提到的都只有 Mac。截至 10 月 3 日，该帖的浏览量已超过 2.8 万次。

截图里那条「哪些动作先问、哪些不问」的分界线会不会原样进入正式版本，以及这个开关何时离开受信任测试渠道，都还没有公布。