目录根限定（root scoping）只阻止智能体离开沙箱，对沙箱内部具体打开哪个文件没有任何约束。