用途：本技能用于在 AWF 沙箱中变更或排查智能体可读、可写、可遍历的宿主文件与目录。使用时将宿主权限、沙箱挂载策略和沙箱实际可见视图作为三个独立检查项。
主要能力：按运行时定位配置来源。Docker / gVisor compose 需查看 docs/mount-policy.md、docs/environment.md 与 src/services/agent-volumes/，注意智能体在 /host 下 chroot 运行。Docker Sandboxes (sbx) 需查看 docs/sbx-integration.md 的卷挂载部分与 src/sbx-manager.ts。Cloud Hypervisor 需查看 docs/cloud-hypervisor-foundation.md 的导出与写策略部分及 src/cloud-hypervisor/exports.ts。compose 与 sbx 的 home 目录策略变更使用 src/config/sandbox-mount-policy.json，并遵循 docs/mount-policy.md 的运行时范围与测试；Cloud Hypervisor 目前不消费该 home 策略。
使用方式：配置访问时明确宿主源、客人可见路径、所需操作（读/写/执行/遍历）和运行时，确认源存在。仅授予所需访问，优先特定只读挂载，需要输出时只将必要输出路径设为可写。避免挂载 /、完整宿主 home 或含凭据的宽泛目录。添加前检查已有父级与嵌套挂载，注意挂载顺序或更窄子挂载会改变有效访问；在 ARC/DinD 上验证 Docker 守护进程可见源并考虑 --docker-host-path-prefix。保留凭据排除与后端隔离保证，宿主 ACL 或模式变更不能替代窄范围沙箱挂载。为所改模块添加或更新聚焦测试，覆盖请求访问与相邻的拒绝或只读情形。
验证方式：分别检查宿主 DAC/ACL（所有者、组、模式、ACL，含所有父目录的执行/遍历权限）、生成的挂载/导出（源、目标、只读或读写模式）以及客人身份下的实际有效访问（使用智能体实际用户、组、特权和客人路径运行检查，用 test -r/-w/-x 初步探测，必要时创建并删除一次性文件确认写权限；findmnt -T 仅用于识别供应挂载）。验证须非破坏性，不读取、打印或复制凭据内容。
报告：说明运行时、宿主源、客人路径、预期访问与观察到的有效访问，区分缺失挂载、宿主权限/ACL 拒绝与只读挂载，列出所用测试或运行时检查，并指出未验证的后端。
限制：资料未提供该技能的安装命令、收费信息、支持平台范围或与其他工具的集成说明，暂未提供。