让 AI 安全行动，需要的是同一份审计日志，而不是五份

答错一个问题，浪费的是一分钟。做错一个动作，邮件已经发出，商机已经挪动，发票已经退款。生成式 AI 与智能体 AI 之间的差距，就是“帮不上忙”与“造成危害”之间的差距——而要安全地弥合这道差距，大部分工作发生在模型之下。

Cyril 的设计目标，就是让智能体代表您采取行动。而这只有在每一个动作都通过权限校验、等待人工批准，并留下所做操作的记录时才行得通。

跨五套工具行动的问题

在拼凑起来的工具组合里，一个要行动的智能体只能通过集成来行动。它在一个工具里创建项目，通过另一个工具发送邮件，在第三个工具里更新商机。每个工具都有自己的权限模型，有自己的审计记录（或者根本没有），也没有任何共同的“撤销”概念。

所以一旦出了问题——而有了智能体，问题迟早会出——您只能从五份互不共享 ID、时钟和词汇的残缺日志中去还原经过。您无法回答唯一重要的那个问题：智能体做了什么，凭谁的授权，又该如何撤回？

这不是模型安全问题，而是架构问题，一段护栏提示词解决不了。

同一套权限模型

在 Cyril 中，智能体只是一个调用方，没有超级权限。它在约束人员的同一套 RBAC 之内行事：限定在一个 org_id 范围内，受提出请求者本人角色的约束——仅此而已。任何操作运行之前，其计划中的每一步都会在服务器端按此人的权限进行校验，超出权限的步骤会被拒绝。

这一点之所以重要，是因为它让智能体的权限清晰可读。“这个智能体能做什么？”与“这个人能做什么？”答案的形式相同——而且在同一个地方设置。

每次运行都有记录

智能体的每次运行都有记录：执行计划、审批人以及每一步做了什么。“助手上周对凤凰科技这个客户做了什么？”只需查看运行记录即可回答，而不必跨系统进行取证还原。

当操作和记录都在同一张数据图谱上时，这份记录就不是外挂的功能，而是对同一批数据的自然读取。

纠正错误的一步

目前智能体的运行还不支持一键撤销。智能体创建或修改的记录可以像其他记录一样更正或删除，而有些步骤（例如已经发出的提醒）则根本无法撤回。正因如此，计划要先等您批准，才会执行任何操作。

默认由人工把关

有些动作应该直接执行，有些应该等人来批准。在 Cyril 中，Ask Cyril 会展示完整计划，并在任何一步运行之前等待您的批准，您也可以选择取消。审批针对的是整个计划；目前还不能按动作逐一设置。

这对您意味着什么

• 让智能体跨模块运行多步骤工作流，并在同一份运行记录中，确切看到它做了什么。
• 赋予它真正的权限，而不是无限的权限——每一步都按提出请求者本人的权限进行校验。
• 在任何操作运行之前批准整个计划，而不是事后才发现。

值得信赖的 AI 行动，主要不取决于提示词，而取决于底层平台能否为智能体的所作所为给出交代。Cyril 的设计，就是让它永远都能给出交代。