Agent 能读文件、跑命令、调 API 之后，「对齐」只是起点。真正决定能不能上线的，是权限、隔离与审计。下面是一份可直接贴进发布清单的清单。
1. 权限最小化
- 生产 Agent 默认非 root；文件系统用只读挂载 + 白名单写路径
- 密钥不进上下文：用短期 token / 侧车代理签发
- 工具面拆分：读库、发邮件、改生产配置分属不同身份
2. 多 Agent 隔离
共享 shell 等于共享命运。每个 Agent 独立容器 / VM、独立密钥、独立网络策略。目标冲突时，宁可失败，也不要让它们「互相解决」。
3. 人机闸门
- 高风险动作（删库、改 IAM、对外发信、转账）必须人工确认
- 确认页展示：将执行的命令、影响范围、回滚方式
- 默认超时拒绝，而不是超时放行
4. 可审计
- 保留完整 prompt / tool call / 结果摘要（注意脱敏）
- 对「宣称已完成但未验证」的步骤做二次探针
- 定期红队：注入冲突目标、假情报源、权限提升诱饵
安全不是上线前勾一次的表，而是 Agent 生命周期里的持续纪律。
