他们跳过的部分

没人愿意负责的问题

框架能帮你构建一个智能体。它们帮不了的，是智能体一接触真实世界就变得关键的那部分：为其他人运行它，花他们的钱，接触他们的数据，执行有后果的操作，同时不在客户之间泄露数据，也不做出无法撤销的错误操作。

四条战线

一个客户的智能体无法访问另一个客户的数据，即使通过共享工具也不行。

让智能体行动，而不只是聊天，包括主动自行行动的智能体，同时有办法阻止它做出灾难性的事。

每个有后果的操作都要通过授权关口。涉及资金和预订的操作始终等待人工处理；其他操作只有在助手的固定策略允许时才会执行，否则等待。

每个租户的支出都有上限，价值可以在租户之间原子性地转移：计量器既是节流阀，也是结算层，而不只是账单。

一到六

租户 A 拥有的工具被租户 B 调用时，在B 的作用域下运行，绝不会在 A 的作用域下运行。已证明：A 无法读取 B，即使通过不属于 A 的工具也不行。

能力边界、审批队列（先授权后执行）、紧急停止开关、只有在获得信任后才逐步过渡到自主运行的软启动，以及一套危机协议，接入到每一个入口点。

内部 = 进程内注册表（快速，按租户限定作用域）。外部 = MCP，双向，走有 SSRF 防护的传输层。MCP 从不作为内部总线。

质量关卡：生成 → 验证 → 修复 → 交付。模型提出方案；后端强制执行 schema。

新增一个垂直领域意味着组合已有的部分，而不是重建。互不相关的常驻代理共用同一根主干，纯净性 lint 在每次提交时都会证明这一点。

额度以原子方式扣减；被转向危机资源的对话轮次会退款。你不会向处于困境中的人收费。同一个原语也在租户之间转移价值：一次定价的跨租户调用会在一个原子、防透支的步骤中向调用方扣费并向提供方付款。

一轮对话的剖析

首页笔记本中的每个回答都会显示它通过了哪些检查。每一项都是一个保证，并且每一项在失败时都以安全方式失败。

auth令牌指明租户和角色，从不取自请求体伪造 / 过期 ⇒ 拒绝

范围SET LOCAL app.current_tenant 为本轮对话绑定 RLS无租户上下文 ⇒ 零行

循环感知，加载该租户的事实，推理无法访问其他租户的知识

工具只运行授予该租户的、限定作用域的工具共享工具仍在调用方的权限范围内运行

计量原子化的额度检查与扣减不会透支；危机转移会退款

守卫护栏、危机处理、紧急停止开关、tier-3 批准有后果的操作会挂起，等待人工处理

可以直接读懂的安全属性，而不是需要你去信任的策略，UPDATE … SET credits = credits - :n WHERE credits >= :n，一个带咨询锁的 book_if_free。现场看其中两个成立 →

聊聊吧

如果租户隔离、治理和计量是你的智能体进入生产环境的障碍，这部分已经建好了。我们聊聊。