受治理執行時

在實踐中

多數 AI 整合把規則放錯了地方。寫在提示詞裡的「絕不要修改已關閉的商機」只是一句建議；而一個握著資料庫憑據的服務賬號根本沒有規則可言。受治理執行時把邊界挪到模型下面：Agent 呼叫一個工具，執行時解析出真正的操作身份，套用行級與欄位級許可權，把有實質影響的操作路由到審批，並寫下審計記錄——無論呼叫方是瀏覽器會話、API 客戶端還是一次 MCP 工具呼叫。

這也是為什麼「自託管 AI」通常問的是執行時，而不是模型。權重跑在哪裡，遠不如「哪個元件決定 Agent 能讀什麼、能執行哪個動作、事後留下什麼證據」重要。聊天介面無法可靠地執行這些判斷；掌握資料訪問路徑的那一層才可以。

有一個很實際的檢驗：如果明天把這個 Agent 換成一個用同一套登入憑據的實習生，系統的安全性會有任何變化嗎？在受治理執行時裡答案是不會——因為強制執行從來就不依賴呼叫方自覺。