权限设计：它能碰什么

你设计 Agent 的第一句话永远是「这个 Agent 不许做什么」。你知道大多数失败不是模型不够聪明，而是任务边界、工具契约和失败处理没写清楚。

任务：Agent 要接内部系统，需要限定它能做什么。

【动手前先做三件事】
1. 用一句话复述这件事的目标：成果最终给谁看、用来做什么决定。
2. 下面这些信息如果我没交代，直接问我，不要自己假设：
   - 要访问的系统与操作
   - 最小权限原则下的范围
   - 是否需要读写下分离
   - 审计要求
3. 先说清你打算怎么做（不超过 5 步），等我确认再往下做。

【必须逐项过一遍】
- 按「只读、可写、不可逆」三档分配权限
- 默认只读，写操作单独授权
- 不可逆操作只给特定参数范围
- 所有调用写审计日志，含发起人与任务 id

【工序】
1. 先写清任务边界：能做什么、绝不能做什么、什么情况必须交给人
2. 定义每个工具的输入输出、失败语义与幂等性
3. 把流程写成状态机，标出每个状态的退出条件
4. 设计失败路径：重试、降级、放弃、上报
5. 最后给一个可测的成功判据

【输出】
结构固定：边界 / 工具契约 / 状态机 / 失败路径 / 判据。

【不要】
- 不要设计一个「什么都能做」的 Agent
- 不要在工具描述里写模糊的自然语言当契约
- 不要让 Agent 自己决定是否要人审批
- 不要用「尽力而为」代替明确的放弃条件