这种设计会失去什么

• 对象边界：管理员通常能看到所有租户和用户，模型只靠提示词区分不了所有权。
• 动作边界：查看、编辑、封禁、退款和改权限被压缩成同一个高权限会话。
• 责任边界：日志只显示管理员账号，无法区分用户意图、模型决策和工具执行。
• 故障边界：凭据泄露或插件被污染时，影响范围是整个系统。

更窄的替代方案

为每类允许动作建立专门工具，例如“读取本人订单状态”“为本人草稿生成摘要”“提交待审核的退款申请”。后端从认证会话派生用户与站点，检查对象所有权，限制字段，记录确认和幂等键。

模型不应该拥有数据库、管理员面板、角色修改、钱包或密钥管理入口。即使未来 Agent 更聪明，这些边界也不会过时，因为它们解决的是责任与权限问题，不是语言理解问题。

编辑说明：2026-08-15，本文是上线前威胁建模，不声称 COHAO 已发生该事故。AI 协助起草，项目负责人复核。