agent-workspace-linux 的隔离桌面不是默认成立的：一条可回读的 Linux 验收路径

agent-workspace-linux 给 AI 一个单独的隐藏 Linux 桌面，而不是接管用户正在使用的桌面。它依赖 Xvfb、openbox、xdotool、xauth、x11-utils、ImageMagick 和 xclip；bubblewrap 是 mount/network enforcement 的关键后端。

建议按这条路径验证：doctor -> workspace start --dry-run -> workspace start --ack-hidden-workspace --purpose "QA run" -> viewer -> workspace launch -> workspace observe --screenshot -> workspace stop。MCP 主机还要实际调用一个 workspace 工具，不能只看 connected 状态。

权限上限要单独审查。默认模式主要依赖宿主审批；--permissions 或 AGENT_WORKSPACE_PERMISSIONS 才能声明 network、mounts 和 apps 的 ceiling，并在 MCP 与 daemon 两侧执行。若 bubblewrap 不在，策略可能只被声明、不被强制。viewer 不是安全边界；项目仍是 pre-1.0，issue #21/#22 暴露了控制状态和剪贴板的具体风险。

我的结论是先用于 GUI QA 和可销毁 profile，暂缓真实凭据。证据应包括 doctor 输出、dry-run 状态、截图、stop 结果和 enforcement backend 状态。项目页：https://doramagic.ai/zh/projects/agent-workspace-linux/ 。