先给结论：编程代理越能自己搜集上下文、跑测试、查文档，越值钱，也越容易做出不可逆的事。随口问「怎么归档这个仓库」，会被当成执行，真把仓库归档。问信息和下命令必须拆成两种权限。只读探索和测试可以自动批准；改文件系统、改版本库状态、装包，必须停下来等人点头。边界要写进环境，不要写进心情。

为什么「再看紧一点」替代不了命令白名单

痛点是自治和不可逆绑在一起。代理可以删文件、强推主干、提交坏代码、改关键配置。需要它在安全操作上自由，在改状态上刹车。心智模型按「是否改变状态」切，不按「听起来危不危险」切。自动批准：搜索、查看、只读测试、类型检查、静态检查（不要带自动修复）、拉取请求只读查看、日志、差异、展示对象、包列表、文档预览服务。永不自动批准：删改移动复制建目录、提交推送重置切分支、装新依赖。暂存区有点灰：技术上可逆，代理挑文件往往比人快，可以放行。测试默认只读所以放行；任何改文件的命令，即使理论上可回滚，也要审批——分界是改没改状态，不是回不回得来。

自动联网搜索能让它自己查文档和报错，尤其训练截止日期之后的接口。要盯提示投毒：网页内容可能改后续行为。编码任务上可管，系统权限大或数据敏感时收紧。紧急停止快捷键要练到肌肉：循环、跑偏、动手了不想要的改动，立刻打断再改方向。纠偏要写进仓库备忘再继续，下一场才继承。复杂任务不要「帮我调这个工作流」这种空话。写成逐步处方：解析地址、用只读命令拉运行与失败日志、定位步骤和退出码、给可执行修复、考虑项目类型和近期改动、给出验证与预防。处方里的命令必须已经在白名单上，整段才能无人值守跑完。处方可以用模型协助写细，从大纲加到具体命令为止。

五步把自治从胆量收成可执行的边界

1. 先列白名单和黑名单，贴在开发环境里。新命令默认黑，直到你确认只读。
2. 问信息和执行拆开。探索用只读；归档、删除、发布走另一套要审批的动词。同一句口语不能既当搜索又当操作。
3. 复杂活先计划后动手。计划含：改哪些文件和函数、验收标准、依赖顺序、测试或校验步骤。你改计划，它只执行计划。一次做对，往往因为计划改过几轮，不是因为它更敢。
4. 纠偏实时落地。停、改方向、写入备忘、继续。不写备忘，你只是这五分钟当了人肉守卫。
5. 多代理只给互不依赖、范围清楚的活。一个查文档、一个改互不重叠的模块可以；有依赖或会改同一文件，就一个代理加一份计划。认知负荷不只是记住它们在干什么，还要防止互相踩。生成不是瓶颈，评审才是：小步提交、中间评审，五秒能修的问题当场修，不要让错误被它自己再吃进去变成面。

现场有三条。其一，浏览器代理和编程代理是同一类事故：把求知当成操作。权限模型必须区分「读世界」和「改世界」。其二，计划里若出现黑名单命令，自治会在中途卡死或你被迫放行。处方和白名单要一起设计。其三，并行代理的冲突比单代理的慢更贵。独立任务才并行，协调任务就串行。

自治的价值是背景里推进；安全的价值是不可逆的事必须经过你。白名单是这两句话的实现，不是个性设置。联网搜索的投毒面要单独记账：编码任务里查报错通常可接受，一旦代理还能改密钥、改生产配置，搜索结果就可能变成后续工具调用的燃料。权限越大，搜索越要审批或加域名白名单。紧急停止必须练到不看文档就能按：循环、跑偏、开始改你不想改的文件，先打断再说话。打断而不写入备忘，下场还会走同一条坑。

若只能改环境一处：关掉对提交、推送、删除的自动批准。只读探索可以整夜跑，改状态必须等人。装新依赖同样列入黑名单，避免它为了「先跑起来」把来路不明的包写进锁文件。锁文件一变，复现和安全审查都会跟着脏，这种脏比一次失败的测试更难回滚。

结论：自治停在状态边界上，不要停在你的注意力上

只读自动过，改状态必须批。问信息和命令拆开。处方里的步骤要已在白名单上。计划先于动手。多代理不碰同一文件。仍靠盯梢当安全，人一眨眼就会归档错仓库。

你下次放代理过夜，先问白名单有没有提交推送、处方步骤能不能无人值守跑完。两问不过，自治就不能开。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源