10.1 约束三层模型

本章导读

本 节 目 标

• 能建立约束的三个层次心智模型。数据层管「进出」，能力层管「能不能」，过程层管「有没有留痕、够不够格」。一次上线评审，三层都要过。
• 能把数据边界、权限模型、审批链路、日志审计、评测门槛、人工兜底与三类护栏（提示词、工具、连接器）落到具体配置动作上，不停留在原则。
• 能在上线评审前逐条回答八个红线问题。数据出不出内网、授权是否最小必要、不可逆动作有无门禁、争议能否还原链路。答不上来就别上线。

前几章我们都在讲「怎么让 Agent 能干」——怎么编排 Skill、怎么挂载 MCP 连接器、怎么调 Prompt 让回答更准。但你很快会在客户现场遇到一个灵魂拷问：「这玩意儿要是把客户合同数据发到外面去了，谁担责？」「Agent 误删了生产库的一张表，你跟我说它能自己改回来？」

这些问题跟模型能力无关，跟 Prompt 写得好不好也无关——它们是治理问题。一个企业敢不敢把真实业务交给 AI，取决于你这套约束体系能不能过 CISO（首席信息安全官）那一关，Demo 多炫帮不上忙。

本章给你一副「约束视角的眼镜」：把前面各章散落的安全动作（数据脱敏、权限收敛、日志埋点）收拢成一个三层模型，让你在上线评审时能对着清单一条条说清楚。学完这章，你应该能在一个白板上画出整个约束三层结构，并且面对客户的合规部门时不虚。

概念

企业级 AI 系统的约束，可以归纳成三层，正好对应「一次请求生命周期」里的三个卡点：

🖼 图：constraint three layers

这三层覆盖了「一次请求」的完整链路：数据先进来（数据层），Agent 决定要不要调工具（能力层），整个过程被记录、动作前有评测把关（过程层）。任何一层裸奔，整套体系都算不合规。

用法

三层模型要在上线评审时当一个 checklist 用，别停在概念讨论。当客户的 CISO 问「你们这套 Agent 怎么保证安全」，你不要东扯一句 Prompt 注入防护、西扯一句日志审计，按这个层次讲：

1. 先讲数据层：进出边界怎么控

2. 再讲能力层：权限怎么收敛

3. 最后讲过程层：日志和评测怎么兜底

这是一个可复用的答辩模板。下面我们逐层拆解具体配置动作。

示例

一个典型上线评审 PPT 的「约束体系」页应该是这样：

约束三层模型

【数据层】

- 敏感数据字典：PII/财务/合同三类打标

- 出口策略：白名单域名 + DLP 扫描

- 入口策略：用户输入长度限制 + 关键词过滤

【能力层】

- IAM 最小权限：只授予只读角色

- 不可逆动作白名单：DELETE/DROP 需二次审批

- 连接器鉴权：MCP Server 端 Token 校验

【过程层】

- 全量日志：Prompt/工具调用/Response 三段式

- 评测门槛：准确率 ≥ 90%、拒答率 ≤ 5%

- 人工兜底：高危场景强制 human-in-the-loop

注意事项

• 不要把三层割裂开看 。真实事故往往跨层：比如数据层漏了脱敏，Agent 在能力层调了一个外发邮件 Skill，过程层日志没埋 Tool Input——三个漏洞叠加才导致泄露。评审时三层都要过， 任何一层「基本还行」都不算通过 。