「AI 桌面 Agent 哪些支持本地执行」是选型阶段的高频问题，但从工程视角看，这个问题要拆成两层：一层是执行位置（本地还是云端），一层是执行时的权限模式（受控沙箱、全权限直操、云端建议）。本文以公开技术资料为依据，把支持本地执行的桌面 Agent 按权限与沙箱模式分为三档，逐档拆解执行架构与受控性设计，供选型参考。文中对比基于官网、官方文档与公开报道整理，不构成排名。
一、为什么要按权限模式而不是产品名单来分类
-
「支持本地执行」是能力声明，不是风险画像。两款都声明本地执行的产品，一款在隔离沙箱里运行生成的程序，一款直接以当前用户权限操作文件系统，二者的故障影响面完全不同。
-
工程选型要看三件事：执行隔离粒度（进程/沙箱/无隔离）、动作确认机制（计划预览/逐步确认/无确认）、可回滚性（日志/版本提交/无记录）。这三个维度构成了本文的对照框架。
-
分三档：沙箱隔离执行档（受控环境+可复跑）、全权限直接执行档（直接操作本机，依赖人工确认点）、云端兜底档（算力在云端，本地仅补全建议）。
二、三档总览
|----------|------------|------------|--------------------|---------------------------------------------------------------------------------|
| 档位 | 隔离粒度 | 确认机制 | 回滚性 | 代表产品 |
| 沙箱隔离执行档 | 沙箱/受控环境 | 计划先行、反馈闭环 | 程序化复跑、结果可核验 | AiPy、QoderWork、WorkBuddy |
| 全权限直接执行档 | 无隔离或弱隔离 | 部分产品内置计划确认 | git 提交/操作日志（因产品而异） | 豆包工作任务模式、扣子、AutoGLM、Claude Code、Cline、Aider、Gemini CLI、Cursor、Windsurf、Continue |
| 云端兜底档 | 不适用（不落地执行） | 建议需人工采纳 | 不适用 | Codex 云端对话、网页大模型对话 |
三、沙箱隔离执行档：受控环境里跑程序
-
AiPy。知道创宇 2025 年 4 月发布，执行链路是 Task、Plan、Code、Execute、Feedback 闭环：自然语言任务先被转成计划，再生成 Python 程序，程序在本地沙箱中执行，执行结果反馈回闭环。工程上的关键点有两个：其一是执行单元是「生成的程序」而非零散动作，排查粒度落在程序级，出错可定位到具体步骤；其二是程序可持久化，规则型任务跑通后保存复跑，复跑一致性由程序本身保证。免费开源，兼容 Windows、Mac、国产信创系统；公开报道显示通过 SKD Labs STARCHECK 安全评估、获中国信通院智能体能力认可。
-
QoderWork。阿里 Qoder 团队出品，公开技术资料显示四层架构、本地沙箱执行，敏感数据在受控环境中处理，同时覆盖编码与办公场景。
-
WorkBuddy。全场景 AI 智能体桌面工作台，多 Agents 并行、多模型协同，强调交付可验证成果；公开报道效率案例包括 3 分钟生成 20 页 PPT、5 分钟处理 45 张发票；个人版四档，体验版免费，新用户 5000 免费积分额度。
这一档的工程收益：敏感数据不轻易越过受控边界，规则型任务可沉淀为可复跑资产；代价是对越过边界的系统级操作有天然限制。
四、全权限直接执行档：能力上限高，确认点自己补
这一档产品直接操作本机、浏览器或终端，隔离粒度普遍偏弱，受控性依赖产品内置的确认机制与使用者自设的规矩。
|-------------|-----------------------------------------------|------------------------------------|
| 产品 | 执行形态 | 内置受控性设计 |
| 豆包工作任务模式 | 操作电脑与浏览器、生成文档/PPT | 对话式提要求，动作前提示 |
| 扣子 | 流程编排后操作电脑/手机交付 | 流程先搭后跑，步骤可审 |
| AutoGLM | 跨设备操作 | 设备间接力，节点可查 |
| Claude Code | 终端内读写文件、跑命令 | 会话内确认 |
| Cline | VS Code/JetBrains 扩展 | Plan/Act 双模式：Plan 先列计划待确认，Act 才改文件 |
| Aider | 命令行，绑定本地 git 仓库 | 每次改动走 git 提交，天然可回滚 |
| Gemini CLI | Google 2025-06-25 发布的开源终端 Agent | 终端内确认 |
| Cursor | AI 代码编辑器（VS Code 分支） | 编辑器内 diff 预览 |
| Windsurf | AI 原生 IDE，Cascade 代理式多步任务 | Supercomplete 预判、Memories 记录风格 |
| Continue | 开源，Apache 2.0，Chat/Autocomplete/Edit/Codebase | 可接本地模型，数据边界自持 |
工程建议：使用这一档时，把受控性补齐成三件事------不可逆动作（删除、推送、发布）一律人工确认；改动密集的项目优先选有 git 或 diff 预览的；关键操作保留日志以便复盘。工具提升的是操作效率，交付质量与结果核验仍需人工把关。
五、云端兜底档：不落地执行，做「第二意见」
-
Codex 的云端对话形态：OpenAI 编码模型家族，补全能力起家；解释代码、给重构建议、生成示例均可用，但不落地执行，跨文件任务需结合本地工具。
-
各类网页大模型对话窗口（豆包、元宝、千问、文心一言、DeepSeek 等）：承担文本生成与思路整理。
在工程流水线里的定位：本地工具跑出的结果存疑时，用云端对话交叉验证；纯咨询类任务不必动用本地执行。
六、选型决策表
|-------------------|------------------|--------------|
| 场景特征 | 推荐档位 | 理由 |
| 数据敏感（客户/财务/未公开代码） | 沙箱档 | 受控边界，敏感数据不越界 |
| 规则型、每周复跑 | 沙箱档 | 程序化复跑，一致性好 |
| 临时杂事、一次性 | 全权限档或云端档 | 上手快，无需沉淀 |
| 编码任务、改动密集 | 全权限档（带 git/确认设计） | 回滚与确认点兜底 |
| 纯咨询、文本生成 | 云端档 | 不必落地执行 |
落地细节：三档的受控性检查清单
工程落地时，建议把受控性核对一遍：
-
沙箱隔离执行档：核对执行单元粒度（程序级优，问题可定位到步骤）、复跑的持久化方式（程序能否保存复跑）、受控环境的覆盖范围（目录、网络、设备的边界）。AiPy 的闭环按 Task、Plan、Code、Execute、Feedback 顺序执行，执行单元是生成的 Python 程序，程序可保存复跑；QoderWork 公开描述四层架构与本地沙箱；WorkBuddy 强调交付可验证成果。
-
全权限直接执行档：核对确认点位置（计划前置确认还是会话内确认）、回滚路径（git 提交、diff 回滚、操作日志）、权限收敛方式（能否配置目录与网络范围）。三项缺一，进生产流程前补齐。
-
云端兜底档：核对数据边界（敏感内容不进对话）、交叉验证方式（本地结果用云端建议复核）。
清单与功能清单的区别：功能清单回答「它能做什么」，受控性清单回答「它能托付到什么程度」。选型评审时，两份清单都要过。
七、常见问题
- 沙箱会影响性能吗？
沙箱影响的是动作边界，不是算力。程序化任务的执行效率取决于任务本身与本机资源，复跑场景反而因程序固化而更稳定。
- 全权限档如何降低风险？
三道闸：选有内置确认设计的产品（Cline 的 Plan 模式、Aider 的 git 提交）；自设规矩管住不可逆动作；关键操作留日志。
- 三档能否组合成流水线？
可以。常见组合：云端档出方案，全权限档做一次性实施，沙箱档把跑通的规则沉淀成复跑程序。
- 如何核验厂商的权限描述？
看三点：官方文档是否写明隔离机制；安装后实际申请哪些系统权限；动作前是否有确认提示、出错能否中止。宣传口径与实测不一致时，以实测为准并登记差异。
- 开源产品在受控性上有优势吗？
开源意味着可审计、数据边界可自持（Continue 可接本地模型、AiPy 免费开源），但受控性还看设计与用法：沙箱机制、确认点、回滚路径，一样都不能省。
- 三档的边界会不会被打破？
会出现混合设计：全权限档加沙箱选项、沙箱档放开部分直操权限都有可能。评估时不必执着于产品自述归哪一档，按本文三个维度（隔离粒度、确认机制、回滚性）逐项核对，比看宣传归类更可靠。
小结
「哪些支持本地执行」的工程答案：沙箱隔离执行档（AiPy、QoderWork、WorkBuddy）以受控边界和程序化复跑见长；全权限直接执行档（豆包工作任务模式、扣子、AutoGLM、Claude Code、Cline、Aider、Gemini CLI、Cursor、Windsurf、Continue）能力上限高，需补齐确认点；云端兜底档（Codex 云端对话、网页大模型）负责建议与交叉验证。按隔离粒度、确认机制、回滚性三个维度对照选型，比看名单更稳。