Bromure Agentic Coding — 配置文件设置参考
Bromure Agentic Coding 中的每个配置文件在十一个面板中拥有各自独立的配置，可通过点击选择器中配置文件旁的齿轮图标进入。
常规
配置文件的基本身份与行为。
| 设置项 | 说明 |
|---|---|
| 名称 | 在配置文件列表中显示的名称。 |
| 颜色 | 在选择器中绘制于配置文件旁的彩色圆点，用于直观区分各个配置文件。可选颜色：蓝色、红色、绿色、橙色、紫色、粉色、青色、灰色。 |
| 键盘布局 | 虚拟机内部使用的键盘布局。"Auto (match macOS)" 会动态镜像宿主机当前激活的输入源，并在切换时实时更新。选择其他布局可将虚拟机固定为特定的 XKB 布局，不受 macOS 状态影响。 |
| 按键重复延迟 | 在虚拟机内按住按键后开始重复的延迟时间（毫秒）。默认值为您的 macOS 设置；修改此项可独立于宿主机覆盖 X11 的按键重复节奏。 |
| 按键重复频率 | 延迟过后按键重复的频率（Hz）。默认值为您的 macOS 设置。当 X-server 管线让打字感觉比 Cocoa 应用更迟钝时很有用——将频率设为 macOS 值的 2× 是常见修复方法。 |
| 关闭窗口时 | 关闭会话窗口时虚拟机的处理方式：挂起（将 RAM 写入磁盘以便瞬时恢复——默认）、关机（干净的 ACPI 关机）或询问（每次都提示）。 |
| 备注（可选） | 关于该配置文件的简短备注。当您将鼠标悬停在列表中的配置文件上时，会以工具提示的形式显示。 |
代理
选择该配置文件中可用的编码代理及其认证方式。被标记为"主要"的代理会在会话打开时在第一个 kitty 标签页中自动启动；其他启用的代理会被安装并完成认证，但需从新标签页按需启动。
| 设置项 | 说明 |
|---|---|
| Claude Code | 为该配置文件启用或禁用 Claude Code 代理。打开开关以进行配置。 |
| Claude Code — 主要 | 将 Claude Code 标记为主要代理（会话启动时自动运行）。点击任一已启用代理上的 "Primary" 即可将其提升为主要代理。 |
| Claude Code — 认证 | Claude Code 的认证方式：API token（粘贴 ANTHROPIC_API_KEY——作为环境变量注入，绝不直接写入虚拟机）、Subscription (interactive login)（在虚拟机中运行一次 claude login）或 Bedrock (AWS)（通过 Bedrock runtime 使用 AWS 凭证——需要在凭证标签页中配置 AWS 凭证）。 |
| Claude Code — 使用前需批准 | （仅限 token 模式。）启用后，每次伪造→真实的 Anthropic API 密钥替换都会在密钥转发前显示宿主机端的同意对话框。默认关闭。 |
| Claude Code — 默认模型 ID | （仅限 Bedrock 模式。）覆盖 Claude Code 使用的 Bedrock 模型 ID，例如 us.anthropic.claude-sonnet-4-6-v1:0。留空则使用 Claude Code 的内置默认值。 |
| Codex | 为该配置文件启用或禁用 OpenAI Codex 代理。打开开关以配置认证。 |
| Codex — 认证 | Codex 的认证方式：API token（粘贴 OPENAI_API_KEY）或 Subscription (interactive login)（在虚拟机中运行一次 codex login）。 |
| Codex — 使用前需批准 | （仅限 token 模式。）启用后，每次伪造→真实的 OpenAI API 密钥替换都会在密钥转发前显示宿主机端的同意对话框。默认关闭。 |
| Grok Build | 为该配置文件启用或禁用 Grok Build（xAI）代理。打开开关以进行配置。 |
| Grok Build — 认证 | Grok Build 的认证方式：API token（粘贴 XAI_API_KEY——作为环境变量注入；proxy 会在向 api.x.ai 发起的请求中将伪造的 xai-brm-… 密钥换回真实值，因此真实密钥永远不会进入虚拟机）或 Subscription (interactive login)（在虚拟机中运行一次 grok login）。Bedrock 不适用于 Grok Build。 |
| Grok Build — 使用前需批准 | （仅限 token 模式。）启用后，每次伪造→真实的 xAI API 密钥替换都会在密钥转发前显示宿主机端的同意对话框。默认关闭。 |
Fusion
Fusion (BETA) 会同时用多个模型回答每个提示：一个评判模型会标注草稿间的共识、分歧以及各自的亮点，然后合成一个最佳回复发送给 Claude Code，就好像是一个模型写的一样。Fusion 在 Claude Code 会话上运行（通过拦截 Claude 的 API 实现），因此需要在此配置文件中至少配置两个代理。可通过会话窗口标题栏中的 ⚡ 按钮按会话启用；下方配置设定哪些代理参与以及哪个模型担任评判。
| 设置项 | 说明 |
|---|---|
| 参与 Fusion 的代理 | 草稿被合并的代理。每个拥有可用凭证（在代理面板中配置）的代理都有一个复选框；没有凭证的代理会显示为禁用状态，并附有「— 无凭证」提示。Fusion 至少需要两个已启用且拥有凭证的代理才可使用。 |
| 评判 — 提供方 | 哪个已配置代理的模型担任评判角色，负责权衡草稿并写出最终答案。默认为第一个可用代理。 |
| 评判 — 模型 | 用于评判的具体模型，会为所选提供方实时获取。保持默认可让提供方自动选择，也可指定一个模型；之前保存的自定义模型即使不在获取到的列表中也仍可选择。 |
提示： Fusion 是 BETA 功能。
文件夹
共享到虚拟机的 Mac 文件夹。每个文件夹挂载在 /home/ubuntu/<basename>（例如 ~/Documents → ~ubuntu/Documents）。每个配置文件最多 8 个文件夹。
| 设置项 | 说明 |
|---|---|
| 文件夹列表 | 当前共享进虚拟机的宿主机路径。每行显示文件夹名称及其在 Mac 上的完整路径。点击减号按钮可移除该共享。 |
| 添加文件夹… | 打开文件选择器以选择一个或多个要共享的目录。当已配置 8 个文件夹时变为灰色不可用。 |
凭证
在会话启动时注入虚拟机的密钥与身份信息。所有真实值均保留在宿主机；MITM 代理在网络传输中将其替换为伪造的占位符，因此密钥永远不会进入虚拟机的地址空间。
| 设置项 | 说明 |
|---|---|
| Git 身份 — 名称 | 写入虚拟机内 ~/.gitconfig 的 user.name。留空则保留 git 的默认值。 |
| Git 身份 — 邮箱 | 写入虚拟机内 ~/.gitconfig 的 user.email。留空则保留 git 的默认值。 |
| SSH 密钥 | 管理自动生成的 ed25519 密钥对（每个配置文件一对）以及任何导入的私钥。生成的公钥在此显示，可粘贴到 github.com/settings/keys。导入的密钥（RSA、ed25519、ecdsa，包括带口令保护的）会在每次会话启动时被加载到该配置文件专属的 bromure ssh-agent 中；口令存储在 macOS Keychain 中。 |
| SSH 密钥 — 使用前需批准 | 启用后，每次使用此密钥的 SSH 签名请求都会显示宿主机端的同意对话框。用户可以选择有时限的授权（5 分钟 / 1 小时 / 本次会话剩余时间）或拒绝。默认关闭。 |
| GitHub Tokens | 用于 github.com 上 HTTPS 形式 git 的个人访问令牌。写入 ~/.git-credentials，并被 gh CLI 自动采用。真实令牌保留在宿主机；代理在出站请求中将其替换为伪造值。 |
| GitHub Tokens — 使用前需批准 | （每个 token。）为特定 token 条目启用后，该 token 的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| GitLab Tokens | 用于 gitlab.com 及自托管 GitLab 实例上 HTTPS 形式 git 的个人访问令牌。被 glab CLI 自动采用。 |
| GitLab Tokens — 使用前需批准 | （每个 token。）为特定 token 条目启用后，该 token 的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| Bitbucket Tokens | 用于 bitbucket.org 上 HTTPS 形式 git 的 App passwords。 |
| Bitbucket Tokens — 使用前需批准 | （每个 token。）为特定 token 条目启用后，该 token 的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| Kubernetes | 每个集群上下文一项。Bromure 在虚拟机中生成合成的 ~/.kube/config，附带一次性客户端证书；真实凭证保留在宿主机，由代理在 API server 请求中进行替换。Exec-plugin 上下文在宿主机端轮询，因此 kubectl 始终能拿到新鲜的 token。上下文可手动添加，也可从现有 kubeconfig 文件导入。 |
| Kubernetes — 使用前需批准 | （每个上下文。）为特定 kubeconfig 上下文启用后，其 bearer token 或 exec-plugin 输出的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| DigitalOcean | 来自 cloud.digitalocean.com 的个人访问令牌。作为 DIGITALOCEAN_ACCESS_TOKEN 环境变量及 ~/.config/doctl/config.yaml 注入——无需运行 doctl auth init。 |
| DigitalOcean — 使用前需批准 | 启用后，DigitalOcean 个人访问令牌的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| AWS | 用于 aws CLI 与 SDK 的 AWS 凭证。支持静态密钥（Access Key ID + Secret Access Key + 可选 Session Token + 默认区域）以及 SSO / Identity Center（从 ~/.aws/config 选择命名 profile）。真实密钥绝不进入虚拟机——宿主机的 MITM 代理会拦截并使用真实材料重新签名 SigV4 请求；如果代理被绕过，AWS 会以 InvalidSignatureException 拒绝。 |
| AWS — 使用前需批准 | 启用后，每次宿主机端的 SigV4 签名调用（每个 AWS API 请求一次）都会显示同意提示，直到一次有时限的授权覆盖它。 |
| 容器注册表 | 用于 docker pull / docker push 的每个注册表的 HTTP Basic 认证。支持 Docker Hub、GHCR、GitLab Container Registry、Quay 以及任意私有注册表。虚拟机的 ~/.docker/config.json 中写入伪造的 base64("<user>:<derived>")；代理在传输中替换为真实值。可通过导入现有的 ~/.docker/config.json 来填充。 |
| 容器注册表 — 使用前需批准 | （每个注册表。）为特定注册表条目启用后，其 Basic-auth 凭证的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| 其他 API 密钥 | 用于自动处理范围（Anthropic、OpenAI、GitHub、GitLab、DigitalOcean、Kubernetes）之外的任何 API 的手动 token 替换规则。每条规则在虚拟机中以指定名称的环境变量导出一个新生成的伪造值（brm_…）；代理在向可选指定的主机发起的出站请求中将其换回真实值。 |
| 其他 API 密钥 — 使用前需批准 | （每个 token。）为特定手动 token 条目启用后，该 token 的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| MongoDB | MongoDB Atlas Data API 端点。每条记录指定一个显示名称、端点的裸主机名、认证类型（API key、Bearer token 或用户名 + 密码）以及一个或多个用于在虚拟机内导出伪造凭证的环境变量名称。真实密钥保留在宿主机；proxy 在向指定主机发出的出站请求中进行替换。此处还可设置每个端点的 Guardrails 模式（Off / 写入前提示 / Block destructive / Read-only），该模式在 proxy 中强制执行——deleteOne/deleteMany = 破坏性，find/aggregate = 只读。 |
| MongoDB — 使用前需批准 | （每个端点。）为特定端点启用后，其凭证的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| ClickHouse | ClickHouse HTTP 接口端点。每条记录指定主机、认证类型、环境变量名称以及可选的 Guardrails 模式。proxy 拦截发往该主机的请求，并在传输过程中替换真实凭证。Guardrails 按前导关键字对 SQL 进行分类：DROP/TRUNCATE/DELETE = 破坏性；INSERT/CREATE = 写入；SELECT/SHOW = 只读。 |
| ClickHouse — 使用前需批准 | （每个端点。）为特定端点启用后，其凭证的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
| Elasticsearch | Elasticsearch 端点。每条记录指定主机、认证类型、环境变量名称以及可选的 Guardrails 模式。Guardrails 按 HTTP 方法和路径分类：DELETE 及 _delete_by_query = 破坏性；_search/_count/_msearch = 只读；_bulk/index/_update = 写入。 |
| Elasticsearch — 使用前需批准 | （每个端点。）为特定端点启用后，其凭证的每次伪→真替换都会显示宿主机端的同意对话框。默认关闭。 |
环境
通过 proxy.env（在 .bashrc 中 source）导出到虚拟机内每个 shell 的纯 KEY=VALUE 键值对。值会原样写入——不进行任何代理替换——所以不要把密钥放在这里。该面板用于非密钥的开关项，例如日志级别、特性开关和构建选项。
| 设置项 | 说明 |
|---|---|
| 变量列表 | 当前已配置的环境变量。每行包含一个名称字段与一个值字段。点击减号按钮可移除某个变量。 |
| 添加变量 | 追加一行新的空 KEY=VALUE 条目。 |
MCP
Model Context Protocol 服务器为代理提供访问外部工具与上下文的能力。配置会被转换为当前代理对应的格式（Claude Code JSON 或 Codex TOML），并在启动时注入虚拟机。
| 设置项 | 说明 |
|---|---|
| 服务器列表 | 为该配置文件当前配置的 MCP 服务器。每个服务器可独立开关。支持 HTTP transport（基于 URL 的远程服务器，可选 bearer token）与 stdio transport（在虚拟机内启动的本地命令）。 |
| 添加服务器 | 追加一条新的 MCP 服务器条目。 |
跟踪
控制 MITM 代理如何为该配置文件记录流量。更高的级别会将加密的请求体文件写入磁盘；所有级别均为可选开启。记录的数据可在 App → Trace Inspector（⇧⌘I）中查看。
| 设置项 | 说明 |
|---|---|
| 会话跟踪 | 代理记录流量的强度。Off——不记录任何内容（默认）。Activity——仅元数据：主机、状态、延迟、替换报告、泄露警告；不包含请求或响应体。AI request details——与 Activity 相同，并额外包含已知 LLM 主机（Anthropic、OpenAI、Google、Cohere、Mistral、Perplexity、x.ai、Groq、Replicate、HuggingFace）的完整请求体。Everything——所有主机的请求体；磁盘占用最快（每个会话最多 100 MB / 总计 5 GB）。请求体使用与配置文件密钥相同的 keychain 密钥进行 AES-GCM 加密。 |
| 隐私模式 | （仅在已加入 bromure.io 工作区的 Mac 上显示。）启用后，该配置文件的会话不会将元数据（工具、文件、命令、token 用量）流式传输到工作区。本地 trace inspector 不受影响。当您使用不希望管理员看到的个人 API 密钥时很有用。 |
| Claude 订阅 token 替换 | （仅在代理就该配置文件提示过之后才显示。）显示真实的 Claude OAuth token 当前是否正被代理替换（Active），或者用户拒绝了替换（Declined）。重置按钮可让用户在下次会话时被再次询问。 |
| Codex 订阅 token 替换 | 与上文相同的三态替换同意机制，作用范围为 Codex / ChatGPT 的 OAuth token（~/.codex/auth.json）。独立显示，使同时使用两种代理的配置文件可分别管理每个提供方。 |
Guardrails
宿主机端的策略引擎，用于从代理所用的协议中剥离破坏性操作。强制执行在宿主机上的 MITM proxy 内部进行，因此虚拟机中出现故障或被入侵的代理无法绕过——被拦截的调用会返回硬性 403 错误，代理将其视为普通 API 失败。 每种资源支持三种模式：Off（不过滤——默认）、Block destructive（拦截删除/drop/terminate；允许创建和更新）或 Read-only（拦截所有变更；仅允许读取）。
| 设置项 | 说明 |
|---|---|
| Kubernetes | 此配置文件 kubeconfig 中已配置的 Kubernetes API 服务器的 Guardrail 模式。基于 HTTP 方法：DELETE = 破坏性（含 deletecollection）；只读模式下所有写操作均被拦截。若未配置 kubeconfig，会显示警告。 |
| AWS | 所有 *.amazonaws.com API 的 Guardrail 模式。通过从 X-Amz-Target 头提取的动作名称（DynamoDB/Lambda 等 JSON 协议服务）或 Action= 表单参数（EC2/IAM/SQS 等查询协议服务）进行分类；对于 S3 和 REST 风格请求则回退到 HTTP 方法。Delete*/Terminate*/Remove*/Purge*/Destroy* = 破坏性；Get*/List*/Describe* = 只读。 |
| DigitalOcean | api.digitalocean.com 及 *.digitalocean.com 的 Guardrail 模式。基于 HTTP 方法：DELETE = 破坏性；GET/HEAD = 只读。 |
| Docker registries | 此配置文件凭证中已配置的容器镜像仓库的 Guardrail 模式。针对 registry 主机名基于 HTTP 方法：DELETE = 破坏性（tag/manifest 删除）；GET/HEAD = 只读（pull）；PUT/POST = 写入（push）。若未配置 registry，会显示警告。 |
| GitHub | github.com REST API 及 HTTPS 形式 git 的 Guardrail 模式。REST 基于方法；git push（git-receive-pack）视为写入，在只读模式下被拦截；git fetch（git-upload-pack）始终允许。 |
| GitLab | gitlab.com REST API 及 HTTPS 形式 git 的 Guardrail 模式。分类逻辑与 GitHub 相同。 |
| Bitbucket | bitbucket.org REST API 及 HTTPS 形式 git 的 Guardrail 模式。分类逻辑与 GitHub 相同。 |
| Databases | 凭证下配置的每个 HTTPS 数据库端点（MongoDB、ClickHouse、Elasticsearch）的逐端点 Guardrails 模式。以单独行的形式显示在此处，每个端点占一行。模式与分类规则与各引擎在凭证部分的描述相符。若端点的主机尚未配置，会显示提示。 |
供应链
Bromure 通过宿主机的 MITM 代理扫描每次包获取（npm、PyPI、Cargo、RubyGems、Maven、NuGet、Go 模块、Packagist），并在代理看到响应之前应用这些策略。VM 中的 .npmrc / pip.conf 只能进一步限制这些设置——无法放宽。可使用每个包的允许列表进行精确覆盖。所有严重性选择器提供：低及以上、中及以上、高及以上或仅严重。
| 设置项 | 说明 |
|---|---|
| Age gate — 拒绝新于截止时间的包 | 启用后，阻止比最小年龄截止时间更新的包，防御新发布的恶意版本。默认开启（最小年龄 2 天）。 |
| Age gate — 最小年龄 | 天数截止值（0–90）。浮动引用（latest、semver 范围）会静默解析为早于截止时间的最新版本；固定引用太新版本时返回 451 并附带清晰的 Bromure 错误。 |
| Age gate — 豁免包 | 从 age gate 中豁免的每包允许列表。格式：npm:axios（带生态系统限定符）或仅 axios（任意生态系统）。 |
| OSV 漏洞检查 | 启用后，在 api.osv.dev 查询包（免费，无需密钥），并阻止达到或超过所选严重性的包。聚合 GitHub Advisory Database、PyPI advisories、Go 数据库、RubySec 等。默认关闭——传递子包中的低严重性 CVE 不应中断工作流。 |
| OSV — 阻断严重性 | 已知漏洞包被阻断的严重性阈值。 |
| socket.dev — API 密钥 | socket.dev API 令牌（来自 socket.dev/dashboard/settings/api-tokens），用于解锁下面两项 socket.dev 检查。仅存储在宿主机——永远不导出到 VM；调用从宿主机的 MITM 代理直接发往 api.socket.dev。在输入密钥之前，下方开关处于禁用状态。 |
| socket.dev — 阻断被入侵的包 | 启用后，阻断 socket.dev 标记为已入侵的包：恶意安装脚本、恶意软件、typosquat 或可疑遥测数据。 |
| socket.dev — 阻断含已知 CVE 的包 | 启用后，阻断含已知 CVE 且达到或超过 CVE 阻断阈值的包。 |
| socket.dev — CVE 阻断阈值 | socket.dev CVE 阻断的严重性阈值。除非「阻断含已知 CVE 的包」开启，否则禁用。 |
| 安装脚本 — 剥离安装脚本 | 启用后，动态从 npm tarball 中剥离 preinstall / install / postinstall / prepare。Bromure 重写 tarball，从 package.json 中删除脚本键，并更新注册表元数据哈希，使 npm 对未固定安装的验证仍能通过。 |
| 安装脚本 — 允许列表 | 允许保留安装脚本的包（binding 编译器如 better-sqlite3 或 node-canvas 合理地需要它们）。格式：npm:better-sqlite3。 |
| 锁文件固定安装 — 通过前提示 | 启用后，在不加修改地通过锁文件固定的 tarball 前提示（npm ci、pip --require-hashes）。这些使用内嵌在锁文件中的密码学完整性哈希，Bromure 无法在不破坏验证的情况下重写，因此批次中第一个锁文件固定的获取会弹出宿主机对话框（允许一次 / 15 分钟 / 本次会话 / 不允许），整批跟随该决定。 |
提示词注入
Bromure 在设备上扫描代理的 AI 流量，检测注入或恶意指令——不会有任何内容离开 Mac。每个检测器使用本地模型，在您首次启用时从 bromure.io 下载。检测结果会显示在安全日志窗口（窗口 → 安全日志…）。
| 设置项 | 说明 |
|---|---|
| 检测源代码中的提示词注入 | 启用后，使用本地 PromptGuard 模型对代理读取的文件内容、网页和工具输出（其 tool_result 块）进行评分。检测隐藏在恶意仓库中的「忽略之前的指令 / 窃取密钥」指令。首次启用时下载约 272 MB。 |
| 检测 CLAUDE.md 文件及类似文件中的恶意指令 | 启用后，使用经过微调的 ModernBERT 分类器加上确定性扫描器，对 Claude Code、Codex 和 Grok 作为权威加载的指令/设置文件（CLAUDE.md、AGENTS.md、GROK.md 及其嵌套/全局变体）进行评分，确定性扫描器可检测模型无法读取的不可见 Unicode 混淆（零宽/双向/Unicode 标签载荷）。首次启用时下载约 571 MB。 |
| 检测到注入时 — 记录但继续 | 将每次检测记录到安全日志窗口，并让请求继续处理。默认行为。 |
| 检测到注入时 — 询问我该怎么做 | 暂停出站请求，并在对话框中显示被标记的文本；选择允许通过或阻止。 |
| 检测到注入时 — 单方面阻断 | 在模型看到内容之前阻断请求——代理收到一个硬性的 HTTP 451 错误。 |
外观
kitty 终端窗口的视觉外观。默认值取自您的 macOS Terminal.app 默认配置。
| 设置项 | 说明 |
|---|---|
| 字体 | 终端中使用的字体族。可从您 Mac 上安装的任何字体中选择。大小通过步进器以磅为单位设置。仅提供不以 . 开头的字体族——以 . 开头的 macOS 内部名称无法被 Linux 的 fontconfig 解析，因此被排除。 |
| 光标 | 终端内的光标形状：Block、Beam（I-光标）或 Underline。 |
| 颜色 — 背景 | 终端背景颜色，以颜色选择器色板形式显示。 |
| 颜色 — 文本 | 终端前景（文本）颜色，以颜色选择器色板形式显示。 |
| 不透明度 | 窗口与终端的组合不透明度，范围从 30% 到 100%。同时应用为 kitty 的 background_opacity（需要虚拟机内有合成器）和 macOS 窗口的 alphaValue（始终生效——产生透出桌面的视觉效果）。默认为 97%。 |
| 连字 | 启用后，终端将渲染编程连字——<=、== 和 => 等多字符序列将绘制为单个组合字形。默认禁用（kitty 的 disable_ligatures always 处于激活状态，除非开启此选项）。仅在使用包含连字表的字体（如 JetBrains Mono 或 Fira Code）时可见。 |
| 重置为 Terminal.app | 将所有外观字段恢复为应用启动时从您 macOS Terminal.app 默认配置中读取到的值。 |
资源
配置文件虚拟机的存储层、内存与网络配置。
存储
三层叠加构成配置文件的环境。底层为共享且不可变；上面两层为每个配置文件独立，可独立清除。
| 设置项 | 说明 |
|---|---|
| 您的主目录 | 配置文件专属的 /home/ubuntu 目录——dotfiles、.ssh 密钥、npm-global、.cargo、shell 历史，以及代理写入主目录的其他任何内容。显示最近活跃时间和当前大小。"Erase home…" 会清空此层并将主目录重置回克隆后的初始状态。 |
| 配置文件系统盘 | 为该配置文件单独克隆出的基础 OS 可读写副本。保存通过 sudo apt install 安装的所有内容、对 /etc、/var 的编辑，以及系统级配置。"Reset to base…" 会丢弃所有系统级改动，并从当前基础镜像重新克隆。 |
| 基础 OS 镜像 | 共享且不可变的基础镜像：Ubuntu Noble + Claude Code + Codex + kitty + gh + glab + 字体。被所有配置文件共享；运行时只读。显示当前版本戳与构建日期。可通过应用菜单重建（约需 5–10 分钟）。 |
内存
| 设置项 | 说明 |
|---|---|
| 虚拟机 RAM | 分配给该配置文件虚拟机的 RAM，单位 GB（2–32 GB，步长 2）。默认值会按宿主机规模调整（宿主机 RAM 小于 18 GB 时为 4 GB，最高 36 GB 时为 6 GB，更大机器为 8 GB）。当 Claude / Codex 反应迟缓或 Rust 编译内存不足时可调高此值。 |
网络
| 设置项 | 说明 |
|---|---|
| 网络模式 | NAT（默认）——虚拟机通过 VZ 内置的 NAT 共享 Mac 的网络连接；出站可用，但局域网内任何设备都无法访问虚拟机。Bridged——虚拟机通过所选物理网卡上的 DHCP 获得可在局域网内路由的独立 IP 地址。 |
| 网卡 | （仅 Bridged 模式。）虚拟机桥接到的物理网络接口。如果不设置，则默认使用第一个可用的桥接接口。 |