我给了一个 AI 智能体对客户 ERP 系统的写入权限。以下是它在无人指示的情况下自行采用的安全措施。

我为一家建筑行业客户做一些咨询工作，他们的项目、工时表和费用都在 Odoo 里管理。我的一个智能体在 Odoo 聊天里有自己的用户账号。我在那里给它发消息，客户的项目经理也可以，而且它会记住上次读到哪条消息，下次就从那里接着处理。我终于翻了翻它的工作文件，看看它到底在做什么。大部分事情都发生在一个下午：**它在归档前先征求了同意。** 它找到了 27 个日期已过的投标项目，但没有获得归档许可。于是，它给项目经理发了一份编号列表，请对方回复“全部归档”或相应的编号。得到同意后，它将这 27 个项目全部归档。**它拒绝在合并时瞎猜。** 有几个项目存在重复记录。每次合并前，它都会检查哪些内容将被迁移，在两条记录上都留下备注，然后归档旧记录。其中一个项目找不到对应的重复记录，所以它将其标记为受阻，并告诉我原因，而不是挑一个名字最接近的凑数。**它在清理前先做了检查。** 在归档 7 个共享工作流阶段前，它确认了 148 个项目中没有任何一个仍在使用这些阶段。是归档，不是删除。**它会保存撤销清单。** 它的许多结果文件末尾都会列出它所创建记录的确切 ID，这样运行出错时就能撤销。那次阶段调整还保存了每个被移动项目的完整映射。**它发现了一个副作用。** 关联任务时，ERP 自动给 3 个原本没有销售订单行的项目关联了销售订单行。它撤销了这些关联，并报告了此事。**它宁可留空，也不瞎猜。** 一个新项目需要一张发票草稿，但系统里没有小时费率。它把发票金额留在 $0.00，并注明“仍需提供费率”。**它会报告自身的服务中断。** 有一天连接不上服务器时，它记录了这次失败，也没有推进消息列表的读取位置，因此没有漏掉任何消息。这些都不是什么框架。无非是制定计划、获得批准、执行操作，再记录如何撤销。对于那些允许智能体写入生产系统的人：你们要求哪些防护措施？你们会让智能体先询问，还是允许它直接行动，再依靠撤销来兜底？