WorkBuddy企业数据安全可通过五项实操加固：一、启用纯本地处理模式并关闭云端协同；二、配置Claw三级沙箱限定文件访问路径；三、开启AES-256本地加密并设置PIN码；四、禁用遥测与非必要系统权限；五、绑定私有IP并配置防火墙白名单。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您正在评估WorkBuddy是否会对企业数据构成泄露风险，则需重点关注其执行环境配置、权限控制粒度与网络通信路径。以下是验证与加固WorkBuddy企业数据安全性的多种实操方法：
一、启用本地处理模式，切断云端数据传输链路
该方法通过将全部AI推理任务限制在终端设备内存中完成，确保原始文件、代码、合同、报表等内容永不离开本地存储，从源头阻断因网络上传导致的数据出境或中间人窃取风险。
1、打开WorkBuddy桌面客户端，点击右上角设置图标。
2、进入“隐私与安全”→“执行环境”设置项。
3、将运行模式切换为“纯本地处理”，并确认状态栏显示“本地推理已激活”。
4、关闭“云端协同加速”与“允许云端模型降级补充”两项开关，防止网络波动时自动回退至远程节点。
二、配置Claw三级沙箱隔离，限定文件系统访问边界
Claw沙箱机制强制WorkBuddy所有文件操作在独立容器中执行，禁止其调用原始系统API遍历目录、读取未授权路径或写入系统关键区域，实现物理级隔离。
1、在主对话框右下角点击“指定工作区”按钮。
2、浏览并选择专用业务目录（例如：D:\Projects\Finance_Q1 或 ~/Documents/legal-contracts）。
3、勾选“启用工作区沙箱保护”，并确保“允许访问上级目录”与“允许遍历系统根目录”处于未勾选状态。
4、点击“确认锁定”，此后所有文档解析、条款提取、代码扫描均被约束在该路径内。
三、开启端到端AES-256本地加密，保护缓存数据静态安全
该机制对WorkBuddy在本地生成的会话历史、知识库索引、临时代码片段等结构化数据进行强加密，密钥由用户本地生成且永不上传至任何服务器，即使硬盘被盗也无法解密原始内容。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
1、进入“隐私与安全”设置页，点击“本地数据加密”选项。
2、点击“启用加密”，系统提示创建6位以上PIN码或导入自定义密钥文件。
3、确认后，应用将自动对现有缓存执行后台加密，并在每次启动时要求输入密钥解锁数据库。
四、禁用遥测与非必要权限，消除侧信道泄露路径
部分版本默认启用诊断日志、错误堆栈上传、使用行为统计等功能，可能间接暴露操作习惯、文件名特征或元数据。关闭这些服务可切断非显性数据外泄通道。
1、在“隐私与安全”设置页中，定位到“诊断数据”与“遥测设置”子项。
2、将“发送匿名使用数据”与“自动错误报告”开关全部设为关闭状态。
3、在操作系统级权限管理中，关闭位置、相机、通讯录、麦克风（除非明确需要实时语音识别）等非核心权限。
五、绑定私有IP并配置防火墙白名单，阻断非法网络接入
当WorkBuddy启用本地API服务或IM直连功能时，若未限定监听地址，可能默认绑定0.0.0.0，导致服务可被局域网外设备探测甚至连接。强制绑定私有IP并配置系统防火墙规则，可从网络层切断非授权访问路径。
1、定位WorkBuddy安装目录下的config.yaml配置文件。
2、查找network节区中的host字段，将原值"0.0.0.0"修改为"127.0.0.1"（仅本机访问）或具体内网IP（如"192.168.1.100"）。
3、在Windows高级安全防火墙中新建入站规则，仅允许指定IP段（如192.168.1.0/24）访问WorkBuddy.exe进程。
4、保存配置后，在任务管理器中结束所有WorkBuddy相关进程，重新启动应用。
