把操作权限交出去之前，先圈好它能待的地方

admin

为什么它需要一个自己的地方

把一个能敲命令行的助手直接放进生产机，我干过一次，事后想起来后背发凉。前阵子有家芯片公司开源了一个项目，定位就是给自主运行的智能体准备一个安全、私有的运行环境。上线后很快就聚起上万星标。这反应很正常。大家的紧张其实是一回事，就是不知道边界该画在哪，又都急着让它上手干活，先把车开出去再说。

为什么要专门给它一块地方。因为命令行权限和别的权限不同，它不是一个只读的口子。它是能动手的。删文件、改配置、装东西，都是它，跟你坐在机器前能做的是同一批。给它一把钥匙，就等于给了一份责任，出事得有人兜着，谁来兜，得提前说好，别含糊。

所以有了那块地。这块地不大。它能待在里面折腾，折腾坏了外面的东西也不受影响。这就是隔离的意思：让它去干活，同时不让它碰到不该碰的地方。运行环境的隔离与审计，现在越来越多被当成基础设施来做，道理就在这儿，不是小题大做，是吃过亏的人才懂，边界清楚，责任也清楚，出了事也好复盘，这样才敢放心让它干活。

能碰哪些目录，先写死

给助手划权限，第一步不是问它能做什么，而是问它只该碰哪些目录。这个要先写死。一个项目的代码目录、一个临时的输出目录，差不多就够了，别的都不给，范围越窄，你晚上睡得越踏实，别图一时痛快开个大口，回头收都收不回来，宁可先小后大，别嫌小。

写死的意思是，不要靠它自觉。默认拒绝，再逐条开放。谁申请什么、开了哪个路径，都记下来。有人喜欢图省事给个最高权限，省下的那点时间，后面大概率要连本带利还回去。收得紧，才敢放开让它干，这个顺序不能反，反了迟早要出事，急不得，先跑通小的，再放大的，稳一点总没错，慢就是快，急反而容易返工，这点耐心得有。

还有个常被漏掉的点：它跑起来之后，还能不能去改自己的权限。理想情况下不能。上限在启动前就定好，运行过程中只减不增，定好的规矩不该被它自己一句话改掉，也不该让它绕过去，权限的顶得有人管着，别让它自己给自己开口子，守住底就行。

出网这件事，默认收紧

第二个要收的是出网。助手能执行命令，往往也就意味着它能往外发东西。代码、日志、配置，都可能被顺手带走。默认策略应该是禁。需要连哪里，再单独开口子。开口子的时候，最好再想一层：它真的要连这个地址吗，还是只是顺手能连上，多问一句往往就能省掉一次意外外发，问清楚再放行，比事后补救省事，留着余量，别满上。

出网这事不好一刀切。构建要拉依赖，运行要调接口，总有要连的时候。折中的做法是列允许清单，只放行确定要用的目标，其余的挡住。允许清单要有人维护。没人管的允许清单，过几个月就松得跟没有一样，定期翻一遍，把不用的先去掉，别让它成了摆设。

还有一类容易漏：它连出去的时候，走的是哪条通道。是不是绕过了你设的代理，自己直连了外面。这种细节平时看不出来，出事时才显形。定期去核对它实际的出网目的地，和你的允许清单对得上没有。这一步省不得。对不上就得赶紧查，查完把口子补上，补完再核一遍，确认真的堵住了，别留个尾巴，一条都别放过。

每一步要不要留痕，留到什么粒度

留痕这问题，不少人觉得记个开机关机就够。其实不够。助手干活，关键要看它执行了哪些命令、动了哪些文件、往外发了什么。记到什么粒度。命令和文件的改动，这两样尽量记全，别只留个结果，结果谁都会看，过程才见真章，过程记下来，才说得清。

记全了会不会太占地方。短期看是，长期看未必。真出事那天，你手里那点记录就是唯一的线索。删了命令只留个结果，等于把案发现场扫了再查案。日志先留着。它的成本比你想的低，用的时候你就知道值，那点空间换不来安心，记录在，复盘才有依据，才追得下去，出了事不用靠猜，记录在手，心里才有底，做事才踏实。

还有一点：记录得能对得上时间。它什么时候跑的、跑了多久、中间有没有中断，这些串起来，才能还原出完整的一段。时间这根线要接上。散着放的记录，用处有限，把时间串起来，前后一对，哪一步出了岔子就清楚了，把每一次都记上，随手就记。

出事了怎么一键收手

再好的边界也有漏的时候。所以动手之前，要先把收手的动作备好。所谓收手，就是让它在几秒内停下来：断掉它的会话，撤掉它临时拿到的权限，必要时把那个环境整体扔掉重建。快的动作，损失小。慌乱里最怕的，就是找不到那个开关在哪，越急越乱，收手要快，事先想清楚，真出手才不慌，别等到事发了才翻手册。

这个动作平时要练。别等真出事，才第一次去找那个开关在哪。顺手在平时跑一遍，确认它真的能停、停了真的干净。演练不费什么。真到那天，手熟和手生，差得很远，练的时候麻烦一点，用的时候就顺一点，这笔账不亏，练过的和没练过的，完全两回事。

说回开头。给智能体能动手的能力，本身没错，错的是边界没定就先放它进去。配置这件事，很多团队不必自己造轮子，先把现有的隔离和审计配成默认动作就行。先把地圈好，再让它下场。顺序别搞反，反了就要付学费，这学费还不便宜，把边界画在前面，比事后补救省事得多，慢慢来，别急，一步到位的事太少，踏实点好。