agentglass

证据显示项目对权限面做了大量显式设计：默认绑定 127.0.0.1、桌面端默认铸造 0600 令牌、提供 AGENTGLASS_TERMINAL_DISABLED / GIT_WRITE_DISABLED / DOCKER_WRITE_DISABLED 等逐能力开关、配对设备分 read/answer/full 三级且默认拒绝、自更新路由仅限桌面 shell 源并校验签名标签。但扣分点明确：SECURITY.md 自述令牌不区分用户与其自身 agent、无令牌的手工服务器对任意本机 uid 开放、gate 默认 fail-open、配对后密钥在明文 HTTP 上传输、且承认存在主动中间人风险；这些是文件里写明的弱点，故 least_privilege 与 sensitive_data_handling 只给 2。data_flow_transparency 给 3，因为 CONFIG.md 逐条列出每个出站调用（Anthropic 用量、GitHub releases、githubstatus、gh CLI、Explain、webhook、LiteLLM 定价）及其开关。dependency_security 仅 1：只有 CodeQL/Dependabot 的声明，未见锁文件内容或依赖审计证据。rollback 给 2：有 setup:undo、备份 settings、设备吊销与令牌轮换，但缺少对已写入数据库/已推送变更的回滚说明。source_attribution 给 2：README 与 LICENSE 明确作者与 MIT，NOTICE.md 提及第三方图标，但发布者身份未经 FollowAgents 验证，属未知而非可疑。

self_consistency 为 2：文档与代码路径大体一致，但 SECURITY.md 承认的 gate 自释放与令牌不区分用户/agent 等行为与安全承诺存在张力。dependency_availability 为 1：仅见 CodeQL/Dependabot 声明，未见锁文件内容或依赖审计证据，无法确认依赖可用性与完整性。failure_messages 为 2：gate 默认 fail-open 且超时或控制面不可达即放行，失败路径的提示与拒绝语义不够明确。

audience_and_scenarios 为 3：README 与 CONFIG.md 覆盖桌面端、手工服务器、配对设备与多种 agent 场景。capability_boundaries 为 3：逐能力开关（AGENTGLASS_TERMINAL_DISABLED / GIT_WRITE_DISABLED / DOCKER_WRITE_DISABLED）与 read/answer/full 三级权限清晰界定能力边界。trigger_precision 为 2：gate 默认 fail-open，超时或控制面不可达即放行，触发与拒绝的精确性不足。environment_fit 为 2：Windows 构建自述未在真机验证，macOS 未签名需手动清除 quarantine，环境适配存在缺口。

information_architecture 为 3：README、CONFIG.md、SECURITY.md、NOTICE.md 等文档分层清晰。install_notes 为 3：安装与 setup:undo 等步骤有明确说明。naming_stability 为 2：命名与版本演进未见稳定承诺。examples_and_faq 为 3：文档提供示例与常见问题说明。known_limitations 为 3：SECURITY.md 明确列出已知弱点与限制。license 为 3：LICENSE 明确 MIT，NOTICE.md 提及第三方图标。versioning_changelog 为 2：未见完整版本与变更日志证据。maintenance_responsibility 为 2：维护责任与发布者身份未经 FollowAgents 验证，属未知。

output_usability 为 2：输出可用性受 gate fail-open 与权限语义影响，需额外配置才能可靠使用。marginal_value 为 2：相对现有方案边际价值有限，需结合具体场景评估。cost_benefit 为 2：自更新会在本机编译代码，且需额外安全配置，成本与收益需权衡。

claim_traceability 为 2：多数声明可追溯到 README、CONFIG.md、SECURITY.md 等文件，但部分行为缺少直接证据。cross_source_corroboration 为 2：跨文档佐证有限，依赖安全仅有 CodeQL/Dependabot 声明。fact_inference_separation 为 2：事实与推断部分混同，如发布者身份属未知而非可疑，需读者自行区分。