Um teste que eu acrescentaria nessa lista: subprocesso. Muita política segura bem a leitura direta, mas aí o agente roda um script de build ou um hook do git que lê o arquivo fora do escopo, e o bloqueio depende de como o sandbox é herdado pelos processos filhos. Vale também olhar os servidores MCP locais, porque eles costumam rodar como processo separado com as permissões do seu usuário, não as do agente. Você chegou a ver se no Copilot CLI a política se aplica aos MCPs que ele sobe?
1
1
Esse caminho por subprocessos precisa mesmo entrar na matriz. Ainda não tenho uma verificação prática do CLI para te passar. Fui conferir a documentação do GitHub: com o sandbox habilitado, os MCPs locais que o CLI inicia rodam dentro dele por padrão, mas isso pode ser alterado nas configurações, salvo exigência de uma política gerenciada. MCP remoto não fica isolado pelo sandbox local.
A documentação também distingue os comandos em processos isolados das ferramentas internas de leitura/edição, que verificam a política em software. Então eu acrescentaria ao ensaio a mesma tentativa de leitura do arquivo fictício por três caminhos: ferramenta direta, script de build/hook e MCP local. Registraria a configuração efetiva, o processo que executou a leitura e a evidência do bloqueio em cada caso. A descrição do padrão ajuda a montar o teste; ainda falta verificar o comportamento na versão e no ambiente usados.