失败模式：把管理员能力交给 Agent，出问题时谁也说不清
-
把后台管理员账号直接交给 Agent，看起来可以少写很多工具接口：模型想查什么就查，想改什么就改。但一旦出现误删、越权或提示注入，系统很难回答三个基本问题：谁授权的、允许到哪里、怎样撤销。
这种设计会失去什么
- 对象边界：管理员通常能看到所有租户和用户，模型只靠提示词区分不了所有权。
- 动作边界：查看、编辑、封禁、退款和改权限被压缩成同一个高权限会话。
- 责任边界：日志只显示管理员账号，无法区分用户意图、模型决策和工具执行。
- 故障边界：凭据泄露或插件被污染时，影响范围是整个系统。
更窄的替代方案
为每类允许动作建立专门工具，例如“读取本人订单状态”“为本人草稿生成摘要”“提交待审核的退款申请”。后端从认证会话派生用户与站点，检查对象所有权，限制字段，记录确认和幂等键。
模型不应该拥有数据库、管理员面板、角色修改、钱包或密钥管理入口。即使未来 Agent 更聪明，这些边界也不会过时，因为它们解决的是责任与权限问题，不是语言理解问题。
编辑说明：2026-08-15，本文是上线前威胁建模，不声称 COHAO 已发生该事故。AI 协助起草，项目负责人复核。