安全与审批

审批是 Grok Bot 把关动作的最后一道人工环节。

1. 三种选择

需要审批时，对话里会显示准备执行的操作和它的参数。Allow once 让这次继续，Always allow 可以存下一条匹配的规则，Deny 拦住它。手机上的控件相同。

不要批准一个你说不清目标或影响的动作。让 Bot 用平常话解释，或者先让它出草稿。审批只控制这一个动作，不会撤销已经完成的工作。

2. 无人值守时的过期

由例程、触发器或其他 Bot 发起的工作，其审批大约十分钟后过期，卡片显示 Expired，动作不会执行。过期卡片可能提供 Always allow this in the future，它只是把规则加进 Allow automatically，不会补做那次动作。要让任务继续，让 Bot 再试一次。

3. Auto Review

在 Settings → General → Auto-review 里配置。Ask first 规则总是拦下匹配的动作；Allow automatically 规则只在自动审查没发现别的问题时放行；两类规则冲突时 Ask first 优先。规则要窄，围绕具体动作和范围写，别写「浏览器里的一切都允许」。团队管理员启用强制后，团队规则不可编辑，个人规则只能让行为更严格。

4. 共享电脑不是隔离

账号下所有 Bot 共用一台云电脑，文件、浏览器会话和命令行凭证都在上面。不要拿不同 Bot 当安全边界；不再用的服务要退出登录；临时文件用完删掉。最小权限的做法是：只连工作需要的工具，先从只读任务和草稿开始，把发送、发布、购买、删除和生产变更留在审批后面。