Copilot 企业托管设置可在启动时强制拉取最新策略、拿不到就拒绝运行，sandbox 配置项开始强制最低客户端版本
管理员可以让 Copilot 客户端不再凭缓存或过期策略运行，也能阻止用户锁定旧版本来绕开沙箱规则。
// 要点
- 把 forceRemoteSettingsRefresh 设为 true 后，Copilot CLI、VS Code 和 Copilot 应用会在启动时拉取最新的服务端托管设置；无法确认当前策略时直接拒绝运行（fail closed）。
- 该设置可通过服务端托管、MDM 或文件方式下发；MDM 和文件方式甚至能在首次登录前就要求策略是最新的。
- 托管设置里包含 sandbox 配置项时，锁定旧版 Copilot 客户端的用户必须升级才能继续使用。
开发者视角这和 10-10 Claude Code 让 hook「失败即拦截」是同一个思路：管控确认不了，智能体就不运行。我只会对真正要紧的策略（沙箱、网络规则）打开它，并先在 VPN 不稳的笔记本上测一遍，因为「失败即拒绝」也意味着策略服务一挂，所有人都写不了代码。