Muse Code のヘルプには「approval and the sandbox are ON by default（承認とサンドボックスは既定で有効）」と明記されています。安全側に倒した初期値になっているのが特徴です。
ツール承認の3モード
| モード | 意味 |
|---|---|
| untrusted | 信頼しない前提で扱う |
| on-request（既定） | 必要に応じて承認を求める |
| never | 承認を求めない |
muse --approval-mode never
承認の判定をLLMが行う
目を引くのが --approval-judge です。
--approval-judge <off|on>
LLM approval judge for Prompt-bound calls (default: on)
既定で有効です。プロンプトに紐づく呼び出しについて、承認してよいかをLLMが判定する仕組みが標準で入っています。単純なルールマッチではなく、判断そのものをモデルに任せる設計です。
サンドボックスのネットワーク3モード
| モード | 意味 |
|---|---|
| restricted | 制限する |
| enabled | 有効にする |
| proxy-only（既定） | プロキシ経由のみ |
既定が proxy-only である点が重要です。シェルから任意の外部通信ができる状態が初期値ではないということです。
個別に外す
| オプション | 効果 |
|---|---|
| --yolo | 承認もサンドボックスも無効化し、このワークスペースを信頼する |
| --trust-workspace | このワークスペースを信頼（スキルとルールを読み込む）。信頼は保存しない |
| --disable-approval | 承認プロンプトを出さない |
| --disable-sandbox | シェルのファイルシステム・ネットワークのサンドボックスを外す |
| --disable-write | シェル以外からのワークスペース書き込みを禁止 |
| --disable-shell | ワークスペースでのシェル実行を禁止 |
| --enable-shell-tool | 管理されたbashではなく旧来のshellツールを使う |
--trust-workspace の「信頼は保存しない」という但し書きが実用的です。一度きり信頼して動かしたいが、次回もそのままにはしたくない、という場合に使えます。
--yolo について
承認とサンドボックスを同時に無効化します。他人のコードや素性の分からないリポジトリで使うものではありません。自分が中身を把握している作業に限るのが妥当です。