强制沙箱、远程控制与观测

托管 sandbox 设置约束本地 CLI 和 Copilot app 的运行环境，不只是推荐默认值。需要“无隔离就不执行”时，应同时启用沙箱和失败关闭。

强制配置

{
  "sandbox": {
    "enabled": true,
    "failIfUnavailable": true,
    "allowBypass": false,
    "sandboxMcpServers": true,
    "sandboxLspServers": true
  }
}

enabled 要求沙箱，failIfUnavailable 要求建立失败时阻止模型和工具执行；后者本身不启用沙箱。allowBypass false 禁止越界运行和当前会话退出隔离。远程 MCP 不运行在本地沙箱中。

允许 bypass 时，官方通用管理参考要求从活动批准弹窗退出本轮隔离，而最新 CLI 命令参考允许直接 /sandbox disable，两处有差异。需要不可绕过的策略时显式禁用 bypass，不依赖界面入口差异。

文件和开发工具

托管 readwritePaths / readonlyPaths 约束用户自定义授权，按路径字符串精确交集，不按父子路径覆盖。空数组移除相应用户自定义授权，但不会移除单独生成的临时目录或当前工作目录授权；后者可通过 addCurrentWorkingDirectory false 限制自动添加。

deniedPaths 追加拒绝范围。allowDevToolAccess false 禁止自动开放工具链、缓存和 registry 目录，但可能影响构建或包恢复，应另行授予实际需要的路径。

当前 CLI 配置参考使用 auth.git / auth.gh 控制凭据注入；通用企业 Schema 仍写旧 gitAuth / ghAuth，存在差异。CLI 新配置采用其专门参考，不要假设旧键已自动迁移。

Windows 学习模式

sandbox.learningMode 仅支持 Windows 原生 MDM，如 Intune / Registry；managed-settings.json 文件值被忽略，用户设置和 SDK host 不能设置。

allow 在支持 denial capture 的主机记录并允许文件与进程访问，网络策略仍执行，界面显示 sandbox relaxed。它用于观察所需访问，不是完整的隔离模式。deny 或移除配置恢复通常强制行为，任一管理来源的 deny 优先。

远程与本机界面

remoteControl.mode 支持 enabled、disabled、requireSSO。requireSSO 还需 githubDotComOrganizations，CLI 参考要求控制端至少对一个列出的 GitHub.com 组织有 SSO 授权。该设置限制本机承载会话是否被远程控制，不阻止用户控制其他设备上的会话。

shellShortcut 可强制开启或关闭 $ 交互 Shell。features.computerUse false 禁止用户启用 computer use，本地不能覆盖；true 或省略则由个人选择。

托管观测

telemetry 可配置 enabled、endpoint、protocol、headers、resourceAttributes、captureContent、lockCaptureContent、serviceName。lockCaptureContent true 阻止用户更改内容采集决定。

CLI 的协议支持 http/json 与 http/protobuf。先决定是否确需采完整提示和回复，再设置 collector 与访问控制；普通性能分析可只采元数据。指标和重复计量问题见OpenTelemetry。