在 macOS 上，Gemini CLI 沙箱优先使用 sandbox-exec（Seatbelt），默认 profile 为 permissive-open，允许任意文件读取，但写入仅限项目目录、临时目录、缓存、~/.npm、~/.cache 及 --include-directories 指定路径，并屏蔽 Docker socket 和对 ~/.gemini 凭证文件的写入。