执行边界先于能力
Agent 的能力不是无限扩展的。每个 项目文件夹 都有明确的运行端和目录边界；文件、终端与浏览器工具只能在该边界内执行。远程访问需要单独的授权，不能因为账号登录就自动获得。
Repository allowlist
项目之外需要显式列出的路径才能被 Agent 读写，未列出的路径保持阻断。
项目预算
可以为项目设置最大预算；达到上限后停止新的 turn，而不是继续消耗。
运行端边界
本地、远程和云端运行端各自拥有不同资源，不共享隐式文件系统权限。
权限是逐层叠加的
一个操作要真正执行，需要同时满足产品权限、项目授权、工具策略和运行端能力。任何一层不满足，都会得到明确的拒绝或等待审批，而不是静默绕过。
| 层 | 回答的问题 |
|---|---|
| 账号与套餐 | 这个账号是否有权使用该能力？ |
| Project 授权 | 这个用户是否有权访问这个项目或运行端？ |
| 工具策略 | 这个工具是否需要审批？允许哪些目标与参数？ |
| 运行端能力 | 当前电脑或 设备 是否真的提供该工具？ |
远程访问与 Grant
需要从另一台设备或云端访问项目时，使用远程访问授权。Grant 明确描述授权范围，可以随时撤销；撤销后新的命令和订阅立即失效，不需要等待下一次登录。
- 优先授予只读或单个项目范围，而不是整个工作区。
- 为远程访问设置有效期，任务结束后及时撤销。
- 远程项目离线时，工作台应明确显示不可用原因，而不是假装执行成功。
- 共享账号不等于共享权限；每个成员应按角色和项目单独授权。
审计与可追溯
操作记录
关键管理操作、授权变更与工具审批可以留下记录，便于安全复核和故障排查。
执行证据
对话中的工具调用、diff、测试结果与 Reviewer 结论构成可回看的执行链。
最小暴露
密钥界面只显示状态与指纹；敏感值不应出现在日志、导出或错误信息中。
职责分离
规划、执行与复核可以由不同角色承担，减少单一 Agent 既改代码又自证正确。
审计记录不一定都在同一个系统：门户 / 云端控制面记录管理操作与授权事件，工具调用与详细执行日志留在运行端，用量记录在模型服务侧。三类数据按各自保留策略管理。
企业落地检查清单
产品与权益隔离
激活码、套餐与渠道范围按产品隔离，避免不同产品之间的额度与权益混用。这里描述的是产品级隔离，不等同于组织级租户隔离。
在团队推广前确认
- 项目目录、运行端和 Repository allowlist 已按最小权限配置。
- 供应商密钥与项目 Secrets 分离，生产密钥未共享到所有项目。
- 远程 Grant 有明确范围与有效期，离队成员及时撤销。
- 项目预算、模型选择与工具审批策略已经验证。
- 团队知道如何查看执行记录、检查点和审计事件。