验证，而非信任

要证据？亲自攻击它。

本站的每一项声明，在此页面上都有一个按钮，连接到真实运行的系统：启用行级安全的线上数据库、真实的审批队列、真实的熔断开关。不是录像。

01，租户隔离

🔒 核心资产 · 在线

试着突破租户隔离。看它守住。

两个沙盒租户，各有一条私密笔记。Alpha 拥有一个共享工具，并已授权给 Beta。Beta 调用它时，即使明确请求 Alpha 的数据，Postgres 也什么都不返回，因为该工具在Beta 的范围下运行。它实时运行在一个启用了行级安全和 NOBYPASSRLS 角色的真实数据库上。迄今没有任何审计突破数据库策略；发现的那一次跨租户泄漏（7 月）位于数据库之外保存的聊天历史中，已修复。不是脚本，点按钮试试。

这证明了：一次跨两个沙箱租户的共享工具读取不返回任何内容。没有证明：内存、缓存、导出或后台任务是隔离的，也没有证明每个请求都绑定到正确的租户。

租户 B共享工具 →租户 A 的数据

B 调用 A 的工具，明确请求 A 的数据。
按下运行，看 RLS 返回零行。

机制：真实的策略，而不是示意图：

ALTER TABLE bookings ENABLE ROW LEVEL SECURITY;
ALTER TABLE bookings FORCE  ROW LEVEL SECURITY;          -- even the table owner obeys it
CREATE POLICY tenant_isolation ON bookings
  USING (tenant_id = NULLIF(current_setting('app.current_tenant', true), '')::uuid);

-- Two roles: migrations run as the owner; the runtime connects as pantheon_app
-- (NOBYPASSRLS), so app code cannot switch the policy off. It relies on the right tenant being set per request.
-- Per request:  SET LOCAL app.current_tenant = '<id>'   →   no context ⇒ zero rows.

一座门楼及其吊闸。版画由 Runway 生成并制作动画。

02，受管控的行动

⛔ 治理 · 实时

看一个高风险操作如何被治理。

让沙箱做一件有后果的事，比如发布一条公开公告（tier-3）。它不会直接执行。它会被分级，对照紧急停止开关检查，然后挂起等待人工处理。你批准后，它才会执行。打开紧急停止开关，看 tier-3 在进入队列之前就被拒绝。

熔断开关

这证明了：一个 tier-3 演示操作被排队等待人工处理，且紧急停止开关能阻止它。没有证明：每个本应归为 tier-3 的真实操作都被正确归类。

tier-3→审批队列→人工

它不会直接运行，而是排队。发送一个，然后批准或拒绝。
拨动紧急停止开关，让它在排队之前就被叫停。

03，可复现评估

评估 · 实时 · ~15s

审计，可复现。你自己跑一遍。

一项治理评测：对抗性用例针对真实助手和线上沙箱逐一判定通过/失败，就在此刻。不是徽章，而是一个按钮。与持续加固它的审计同一思路，最近一次是 50 个智能体的审计和 14 个视角的复审：先探测，再核验。

这证明了：五个固定用例目前在线上系统中通过；每个结果都附有回执（用例、预期、实际、时间、构建）。没有证明：能抵御这五个之外的攻击。

审计发现了什么 → 直接盘问助手 →

5 个对抗性用例
隔离 · 治理 · 安全 · 注入 · 诚实

针对线上系统按通过/失败评分。按下 Run。

04，开放协议

🔌 MCP · 已上线

通过开放协议，把你自己的 AI 接到我的上面。

PANTHEON 双向支持 Model Context Protocol：它可以在治理之下调用外部 MCP 工具，而且（已上线，就在这里）它还把自己受治理的智能体作为 MCP 工具对外提供。坦白说，接入 MCP 是一个周末就能搞定的活儿。重要的是包裹在它外面的东西，而我不希望你凭信任接受这一点。接入你自己的客户端，让它自己证明。协议只是插座，治理才是重点。

npx mcp-remote https://pantheonlabs.co.uk/mcp --header "Authorization: Bearer <mint a token →>"

带上任意 MCP 客户端，Claude Desktop（通过 mcp-remote）、MCP Inspector、Cursor、Cline。它使用按需签发的短期匿名沙箱令牌运行。

然后看它如何自我治理。随便问助手什么，每一次调用都会返回 credits_spent，所以不可能透支。然后让它执行一个操作：这是一次 tier-3 调用，它永远不会触发，而是停在授权关卡等待人工处理。这次拒绝是你亲手触发的。它不是演示文稿里的一张截图。

你能接触到的：一个受治理的问答助手 + 一个刻意设为无效果的“关卡演示”操作。一个限流的匿名沙箱，没有真实数据，没有涉及真实资金的操作。去探测一个不存在的工具，你得到的错误与探测一个未授权工具时相同，因此错误信息不会泄露任何内容。

05：构建者

你刚才攻击的一切，都由一个人构建。

你没有凭信任接受其中任何一点，而是亲自运行了它。如果你需要能经受住这样一个页面检验的系统，我们聊聊。

联系我 →