Pi permite adaptar su núcleo mediante extensiones, pero su diseño permisivo ejecuta las acciones con los permisos del usuario y carece de un sistema de aprobación integrado. Para establecer límites más claros sin ejecutar Pi dentro de un contenedor, la guía combina tres extensiones: @gotgenes/pi-permission-system aplica reglas deterministas de permitir, preguntar o denegar; @erichll/pi-sandbox ejecuta las órdenes Bash habituales dentro de un sandbox del sistema operativo; y @erichll/pi-auto-review evalúa las solicitudes de red, permisos y ejecución en el anfitrión que requieren una decisión contextual.
La configuración bloquea archivos con posibles secretos, como .env, certificados .pem, claves .key y los directorios ~/.ssh y ~/.aws, además de impedir el acceso a directorios externos y el uso de sudo. Las órdenes Bash que no coinciden con operaciones expresamente seleccionadas se ejecutan dentro del sandbox. Determinados comandos de Docker Compose pueden ser revisados y ejecutarse una sola vez en el anfitrión, mientras que otros permanecen aislados.
La revisión automática utiliza un modelo ya configurado en Pi y funciona con un modo de fallo que devuelve la decisión a la persona usuaria. Las reglas deterministas nunca quedan reemplazadas por la decisión de un modelo. La guía recomienda probar cada límite con archivos ficticios y documentar las restricciones en AGENTS.md para que los agentes no intenten eludir los bloqueos. El autor advierte que las extensiones son código de confianza, que un revisor automático puede equivocarse y que los comandos aprobados en el anfitrión se ejecutan realmente con los permisos del usuario.