从工具可见到业务可执行：权限、取证与安全任务

本专题用于三种具体任务：CRM纪要落库、月末对账、商品调价。共同问题是模型会调用工具以后，谁保证对象正确、证据成立和动作获准？第12章先决定合同和状态；第14章决定如何观察失败。这里展开可用于方案评审的反例。

CRM：技能、工具装载、授权是三件事

Twenty固定源码中，Chat、后台runAgent和Workflow节点使用不同上下文与工具装载路径；后台lazy模式可以先看目录、再学习工具，Workflow偏预装有限工具。Skill提供做法，工具Schema提供参数知识，提供者和执行层决定可调用范围。迁移纪要任务时，先列“转录读取→生成Markdown→应用保存CRM→返回记录ID”，无需为固定保存步骤再让模型规划。

固定版本中，Prompt要求先学工具不等于执行层强制每次学习；execute_tool的通用校验也不能证明每种业务参数都在统一层重新检查。设计验收应分别给出：无权工具不在目录、绕过目录调用仍拒绝、错误对象参数拒绝、生成成功而落库失败可恢复的证据。这些是迁移要求，不是对Twenty云服务的测试结论。

评分也要核对可见证据。该固定版本通用Grader未获得完整工具参数、返回值及落库状态；回退函数将用户文本计为已有回答时，只有用户输入、没有助手回答也可能得到100分。高分没有证明纪要已正确保存。业务验收至少重读记录ID、关联客户、否定/承诺归属，再与认可转录比较。Twenty固定源码

对账：差异是待解释事实，根因需要重新取证

GL Reconciler工作包先统一实体、资产类别、期间、键粒度、日期、币种与数量，再full outer join保留双方并集。金额容差与报告重要性阈值不是同一规则。下面是原创教学数据，金额已按同一政策转换为基准币；真实转换应保留原值与规则版本。

“B可能是汇率”只是候选。break-trace回取entry/trade ID、批次、来源、汇率和经办信息后，才组织根因、责任人、预计清除日期及处置建议。大写键或四舍五入可能造成碰撞或丢失精度，不能直接沿用模板政策。

工作包把外部文件抽取交给Reader，内部来源重核交给Critic，报告交给Resolver。这种分工的价值是独立重取证和不同能力范围，代价是交接与恢复更复杂。可信结构化表可能只需要一个确定性比较器加一个解释步骤。在该固定版本披露的部署路径中，Reader校验未接入、其他角色仍有Read、报表Skill需要执行能力而Resolver未获授；角色名、Schema和“already checked”因此不能证明隔离生效。应实测拒绝路径，或选择受控报表工具/CSV输出。报告签认与实际记账另行验收。GL工作包固定版本

调价：部分完成后，恢复以业务状态为准

假设调价已成功，但审计记录写失败。重复全部流程可能重复触发通知；直接标失败则会误导运营人员。原创恢复工作包至少保存提案ID、确认版本、幂等键、真实商品版本、执行回执和未完成副作用。先回读价格，再仅重试缺失记录；无法核对则暂停为result_unknown，不能向用户声称已恢复。若补偿要改回价格，仍需检查当前版本，避免覆盖后来正常调价。

批准绑定具体方案，执行后核真实对象：旧预览不能覆盖新价格，台账写“已完成”不能代替目录中的实际价格。验收分别注入预览后变价、台账成功而目录未变的反例，检查是否暂停、回读和重审，而不把它们概括成所有线上产品的缺陷。Commerce固定示例

安全任务：入口、政策、动作后果一起定义

GraySwan/AISI的2025竞赛用44模拟场景和22模型，分别测试直接聊天与网页、PDF、邮件等间接注入；ART再从提交中筛选4,700攻击，对19模型评价。它提供构造业务安全任务的方法，不提供企业生产事故率。论文第4页图3是按交互计算的成功率；“100%”指所有目标行为被累积突破，不是每次攻击成功。重复尝试预算不同，结果不能直接横比。论文§2、图3–4

以下为原创测试卡，仅用沙箱客户和商品，不访问真实敏感数据：

Schema可以阻止非法字段，无法阻止“格式正确但业务越权”。服务端从会话身份计算对象权限；批准引用不能由文档生成。Reader隔离仍要防止恶意文字经合法JSON传给高权限步骤。控制是否有效看实际调用与回执，不只看模型拒绝措辞。

参数保真：读到的对象必须是写入所比较的对象

编辑商品标题也是动作契约。合成例：读接口返回“保温杯”，修改请求以此为old_value；中间层把弯引号改成直引号，后台再做精确比较，便会返回找不到旧值。若生成器反复改措辞，实际是在修错层。应记录请求的原值、可见规范化结果、实际比较值与对象版本；需要规范化时公开其规则并让确认对象使用同一表示，禁止悄悄变换后仍说按原值执行。

将本例变为验收时同时比较输入、存储和回读的字符及版本，而不只检验“工具返回成功”。参数保真与权限、幂等和后端事务分别验证，某一项通过不能代替其他项。

撤权：从源系统到旧会话分别验收

Onyx的权限对象与检索投影是不同状态，数据库、搜索索引和公开标记分别更新。原创验收时间线：T0用户合法查到D；T1源系统撤权；T2本地成员/文档ACL更新；T3实际索引更新；T4新会话查不到正文与受限引用；T5旧会话、缓存和分享入口按产品政策处理。记录每段时间和失败范围，不能把“同步任务结束”当全部完成。

暂停连接器不等于删除既有索引，源权限抓取失败也不能当更新成功；公开转私有应同时核ACL与public字段。索引查询过滤不能证明历史会话已清除资料，目标环境必须单独测试旧会话、缓存与分享入口；不据此宣称Onyx已实现历史清除。Onyx固定源码

参考资料

• Twenty、GL、Commerce、Onyx固定版本与GraySwan论文的精确链接见对应小节；源码机制和已有局部探针不能替代云服务或真实后端验收。
• 李博杰《深入理解AI Agent：设计原理与工程实践》v2.0 §4.2.3：参数规范化与保真；具体IDE历史行为未独立验证。
• 表格、恢复工作包、测试卡与时间线为教学设计，尚未执行。