权限、凭证与数据边界

ZAI 能看到它所在频道或群聊里的每条消息，不只是 @ 它的那些。被 @ 或跟进消息列时，它会读取前面的讨论；开启主动协助、免确认介入或 Dream 后，后台也会读取这里的消息做分析。不想让 ZAI 读到的讨论，请放在没有 ZAI 的频道或群聊里。

ZAI 能用到哪些内容

ZAI 可以读取当前聊天里的消息和文件；消息链接或文件标识本身不授予访问权限。

读消息时，ZAI 也能看到聊天平台给这些消息和这个聊天分配的标识，以及消息的原始结构（例如按钮和排版），用来对照你贴给它的消息标识或链接；这些标识同样不授予访问权限，ZAI 能读的范围不变。

在频道或群聊里，ZAI 使用组织为这里配置的资源和记忆，不会带入发言成员的个人资源。在私信里，它使用你自己的资源和组织授权给你的资源，不会用到其他成员的资源，也不会用到为其他频道配置的资源。资源按范围生效的规则见能力在哪里生效。

你请 ZAI 给同事发私信时，同事只能拿到这条消息里附带的文件，看不到这次任务里的其他内容。

ZAI 不能读取或搜索其他频道的历史；需要处理其他聊天的内容时，请把内容或文件发到这里。

每个 Session 用一个自己的云端沙箱，不同消息列、不同频道或群聊、不同私信里的任务都不共用，见限制。

能读到哪些历史

ZAI 回答“没有找到”时，只说明它检查过的范围里没有结果，不代表内容从未存在：它回答前读到的、查询时列出和搜到的消息都不是平台上的全部记录，见能读到的历史。

ZAI 能读它所在频道和群聊的历史，已删除的消息读不到；免费版工作区只能读到最近一段时间的内容，见能读到的历史。

删除一条带文件的消息，或在消息里单独删掉一个文件后，ZAI 在这个频道、群聊或私信里也读不到这些文件，还在进行的回复不会再把它们发回来；ZAI 自己已经发进去的同一个文件不受影响，见编辑与删除。更新日志里这项变化之前删除的文件，ZAI 仍可能读到，也可能在之后的回复里再次发出。

Artifact 的访问

ZAI 发布的 Artifact 是一个链接，能打开它的人比发布它的那个聊天里的人多：

• 本组织的每一位成员，用 Slack 账号登录后都能打开，不论他是否在发布它的频道或群聊里；在私信里发布的同样如此。没有对外公开的链接，也不能只开放给指定的人。
• 组织接入了多个 IM 应用时，其他 Workspace 的成员也是组织成员。他们要先从自己那边的 ZAI 打开一次控制台，再打开链接，见直接打开控制台时用哪个应用登录。
• 组织外的人打不开，包括访客和其他组织的成员：他们只会看到「无法查看这个 Artifact」，看不到标题和内容。
• 登录状态保存在浏览器里，连续 7 天没有使用后失效。已经离开组织的人，在登录状态失效前仍能打开；需要马上停止访问时，请移除这个 Artifact。
• 查看页会向每个打开它的成员显示这个 Artifact 来自私信还是频道或群聊，以及请求人的名字。
• 聊天里的 Artifact 消息上有标题和第一屏的预览图，所在消息列里的每个人不用登录就能看到，包括打不开链接的人，见它什么时候出现。
• 查看页加载内容和下载文件时，使用几分钟内有效的临时地址，拿到这个地址的人在失效前不登录也能取到内容。分享时请转发 Artifact 链接本身，不要转发浏览器里复制出的内容地址或下载地址。
• 发布的网页可以加载其他网站的内容，页面里的输入也可能被发往其他网站，见网页里来自其他网站的内容。
• 移除后链接立即失效，聊天里还会留下什么，见移除。组织 Owner 和 Admin 可以在控制台查看和移除本组织的全部 Artifact，见管理 Artifact。

下载链接的访问

ZAI 给出的下载链接和 Artifact 一样对整个组织开放，只是它只用来下载一个文件：

• 本组织的每一位成员，用 Slack 账号登录后都能下载，不论他是否在发出链接的频道或群聊里；在私信里发出的同样如此。Slack 收不下的附件会在原处自动改发这种链接。没有对外公开的链接，也不能只开放给指定的人。
• 组织接入了多个 IM 应用时，其他 Workspace 的成员也是组织成员，要先从自己那边的 ZAI 打开一次控制台，再打开链接，见直接打开控制台时用哪个应用登录。
• 组织外的人打不开，包括访客和其他组织的成员；只用邮箱和密码登录的成员也打不开。
• 下载要求最近一次经 Slack 登录不满 7 天，满了要重新登录。已经离开组织的人登录不了，最晚在最近一次经 Slack 登录 7 天后不能再开始下载，此前已经开始的下载最多还能续传一天。这一点与 Artifact 不同。
• 下载页显示文件名、大小，以及它来自私信还是频道或群聊，不显示聊天的名称和人名。
• 从链接下载不经过 Slack 对文件的管控，例如 Slack 对文件的检查：直接要链接的文件、大到 Slack 收不下的文件，Slack 都没有检查过。
• 被 Slack 的设置或审查拒收、被平台在上传后移除的文件不给链接，同样内容的文件换个名字重新上传也不给；改过内容的文件挡不住。
• 下载页开始下载时使用几分钟内有效的直接下载地址，拿到它的人在失效前不登录也能开始下载。分享时请转发下载链接本身，不要把下载页上复制出的直接下载地址贴进聊天。
• 链接发出后收不回，也没有到期时间。需要马上停止访问时，请 Z Tag 管理员下线这个文件：它在所有聊天里都读不到，所有链接随之失效。
• 没有下载记录可查：链接属于哪个文件和聊天、由哪次任务给出记在链接本身上，哪些文件被下线也一直记着，但谁打开过链接只留在这套 Z Tag 服务自己的运行记录里，约 30 天后不再保留。这些组织里都查不到。

ZAI 读不到 Slack 工作区按设备或网络的下载限制：频道里的文件照常可以给出链接，从链接下载也不受这些限制。

删除带文件的消息，或在消息里单独删掉一个文件后，这个频道、群聊或私信里为这些文件发出的下载链接随之失效。更新日志里这项变化之前删除的文件，ZAI 仍可能读到，也就仍可能为它们给出下载链接。Slack 在文件发出一段时间之后才删掉它时，ZAI 不会知道。

Slack 免费版的工作区里，超过 90 天的消息与文件 Slack 不再显示，ZAI 也读不到；ZAI 在此之前读到并保存过的文件不受影响，仍可能为它们给出下载链接。

ZAI 读不到凭证值

连接器里的密码、令牌、私钥和请求头由 Z Tag 保管，ZAI 发请求时由 Z Tag 代为附上。ZAI 只看得到资源的名称、用途和访问目标，读不到凭证值。但它能用这些凭证读到数据并在聊天里回答，所以只把资源配置给需要它的频道或成员。资源的说明和使用指令 ZAI 看得到，不要把凭证值写进去。

插件里的 MCP 服务也是这样：插件只写服务地址，不写凭证值；ZAI 调用工具时请求经过 Z Tag，由 Z Tag 按地址附上同一使用范围里连接器的凭证，插件和 ZAI 都读不到凭证值。凭证按使用范围生效，不按插件区分：同一使用范围里任何插件声明的地址，只要落在连接器的访问目标里，都会带上这份凭证，所以只启用你信任的插件，见填写 MCP 服务。

远程设备和网络隧道的安装命令里含有一次性接入凭证，只在控制台里显示给发起操作的成员，对话框会写明它的有效期。不要转发、截图或复制到工单；过期或接入成功后需要时重新生成，不要复用旧命令。

远程设备按登录用户的权限运行

远程设备程序不会额外隔离操作，也不会提升权限：它能做的事，受启动它的系统用户、设备开放的能力和当前任务的授权共同限制。请用专用账号运行它，只授予必要的文件权限，并使用可审计的工作目录。设备能力与授权见远程设备与网络隧道。

沙箱配置把 ZAI 的命令放到一台设备上执行时（见命令在哪里执行），还要注意：

• ZAI 的每条命令都以这个用户的身份在设备上执行，能读写这个用户能访问的文件。出网级别、内网路由和连接器的凭证在设备上都不起作用，命令用设备自己的网络和登录状态。
• 同一台设备上的不同 Session 以同一个用户运行，能读到彼此的工作目录和文件。不要让 ZAI 把凭证或敏感内容留在设备上；内容不该互相可见的频道或群聊不要共用一台设备。
• Webhook、事件订阅和定时任务开始的工作同样在设备上执行命令，外部系统发来的内容可能诱导 ZAI 执行命令。只为可以这样使用的设备选这种运行方式。
• ZAI 启动的后台程序和桌面程序会跨轮保留，在 Session 结束、设备被停用或移出使用范围等情况下全部结束；交给设备上原本就在运行的 tmux、pm2 等服务启动的程序不在此列，见设备上的进程。
• 设备重新关联到另一台电脑后，Session 在新电脑上的空工作目录里继续，原来那台电脑上的文件留在原处，见工作目录与文件。

回复结束后的后台程序

ZAI 放到后台运行的程序可能在一轮回复结束后继续运行，远程设备上的情况见设备上的进程。没有回复在进行时，这样的程序不能创建、修改、暂停、删除或立即运行定时任务，也不能管理 Webhook 和事件订阅：这些操作只在 ZAI 回复的过程中进行。

高风险操作

删除、写数据库、执行远程命令、修改业务系统和覆盖文件之前，请在当前任务里说清目标、范围，以及回滚或验证的方式。连接中断不代表远端操作已经回滚；结果不明时先检查实际状态，不要直接重试。

删除一条消息只会取消它触发的、还没开始的工作；已经开始的工作会继续执行。要中止，请在消息列里发送 @zai !stop（私信里是 !stop）。删除消息列的首条消息会停止这个消息列里的工作，但已经执行的操作不会回滚。

记录与数据

任务协作的结果、定时任务的运行记录和事件记录都有默认保留时间，Artifact 的文件在移除后也只保留一段时间，见保留时间。ZAI 所在应用的权限说明见Slack 工作区管理员须知。