臣，数字衙门掌印小吏，谨奏。时在 2026 年 7 月 29 日，诸司竞设智能代理，使其读文书、查库藏、发驿信、改簿册，一夕可行昔日十人之事。众皆贺其勤敏，臣独守印匣而不敢睡。盖办差越快，越须先问：奉谁之命，持何等印，越界谁止，事毕谁收。今不论模型高下，只陈七疏。字多处是忧虑，字少处是规矩。
第一疏｜受命须有边界，不可以一句“替我处理”开衙
凡差事，先有文牒。写明所求、可读之物、可改之处、不得触碰之界，以及何种情形必须退回请示。若只说“把客户问题处理好”，便等于把目标、手段与裁量一并交出。
AI 代理最危险的误会，不是它完全不懂命令，而是它能用一连串看似合理的小动作，走到下令人从未想过的地方。目标含混时，勤快不是美德，是扩大解释权。
臣请：每项委派均附任务契约。可读、可写、可发、可删，分列四栏；未列者，不得自行补成权限。
第二疏｜令牌须会过期，不可让昨日差事通行今日库门
旧制发符，事毕缴回。今之 API 密钥、会话令牌与服务账号，常因配置便利而长年不收。一次临时导表，竟留下可永久读取全库的凭证；一场演示结束，测试代理仍能向真实客户发信。
权限的寿命应短于任务的寿命，至少不应长于它。代理在执行时按需取权，时间一到自动失效；再次办差，重新说明理由。如此即使上下文被污染、指令被诱导，损害范围也被期限截断。
臣请：令牌载明对象、动作、环境与到期时刻。无期限者，不得称为授权，只能称为遗忘。
第三疏｜一差一印，不可把总钥匙挂在最会说话的人腰间
查资料之吏，不必有删库之权；拟邮件之吏，不必能直接发送；核验金额之吏，不必能批准付款。若为省一次配置，给代理一枚通行诸司的总印，便把所有护栏压缩成一句提示词。
最小权限不是让系统处处受阻，而是把错误变小。读错一份文档，与读错后改库、发信、付款，是四种不同事故。工具调用应按动作拆分，敏感一步再增一道显式批准。
臣请：权限随工位，不随“智能”二字。能思考许多步，不等于应执行每一步。
第四疏｜驿递须留底稿，不可只报“已送达”三字
代理跨系统办差，常从邮件取附件，入知识库查规则，再到业务系统写结果。若最后只留一个绿色对勾，出错时便无人知道它读了哪一版、跳过哪一页、为何选择这一条路径。
审计不是把全部思考逐字倾倒。真正有用的底稿是：谁下令，取了哪些输入，调用什么工具，改变什么状态，哪些检查通过，哪些例外未决。它应足以让另一人重建关键行动，却不泄露无关隐私与秘密。
臣请：每次办差生成证据包。结果可简，来路不可断。
第五疏｜盘缠须有上限，不可因每一步便宜而让百步无人察觉
单次模型调用价格低，最容易让人忽视代理会循环、重试、并发和递归委派。一个任务花费不大，千个失控任务便会在深夜把预算、接口配额与下游容量一并吃空。
预算不是财务部门月末才看的总数，而是运行时护栏：最多调用几次，最多处理多少对象，最长运行多久，失败后重试几回。触线便停，停后说明已经完成什么、尚缺什么。
臣请：给代理盘缠，也给盘缠袋一个封口。没有停止条件的自主，不叫自主，叫无人值守的消耗。
第六疏｜朱批须落在动作之前，不可让人在事后替机器补签
所谓人在回路中，若只是代理发完邮件、改完数据、下完订单以后，请人勾选“我已知晓”，那不是复核，是收件。人的位置必须设在后果尚可改变之处。
高风险动作提交前，应同时呈上依据、差异、影响范围与撤销办法。批准者看到的不能只有漂亮结论，还要看到代理不确定之处。若信息不足，人有权退回，不因自动化已经跑了九成便被迫点头。
臣请：朱批先于用印。签名不是装饰，必须握有改变路径的实权。
第七疏｜销差须能收印、回卷、问责，不可以“完成”二字散衙
办差终了，先核对外部状态是否如预期，再回收令牌、归档证据、关闭临时资源。若结果错误，应能撤销写入、补偿下游、通知受影响者。若无法完全恢复，也要明确谁决定接受剩余风险。
责任最终仍属于部署这套代理的组织。不能在成功时把功劳记作自动化，在失败时又说模型自行其是。谁设目标，谁批准权限，谁负责运行，谁接受后果，应在上线前写明，而不是事故后临时寻找。
臣请：每项自动化都备销差册。可开始，亦可停止；可用印，亦可收印；可追求速度，亦有人承担速度留下的后果。
奏毕｜印匣仍须有人守
臣所请并非不用 AI 代理。恰恰相反，正因为它能跨应用、连步骤、替人把差事真正办完，才不能沿用聊天框时代那套“生成后看一眼”的松散办法。
成熟的代理治理，不是处处加锁，而是让每一把锁都对应真实风险：任务有契约，权限有范围，令牌有期限，运行有预算，动作有证据，后果前有复核，事毕有回程。
奏折至此。臣合上印匣，只留一枚小印在桌上。印面四字：奉命办差。印侧另刻四字：过期作废。