智能体能调用工具之后，先写停机、权限和回放

只生成文本时，最坏情况通常是一段不能用的草稿。能点击、能写接口之后，最坏情况是一次真的改动。

权限按动作拆

读、起草、发送、付款、删除分成不同许可。第一版可以只有读和起草。发送必须带上收件人和正文的确认。付款和删除默认不进自动循环。界面操作同样适用：允许的应用和按钮要列出，而不是“可以操作电脑”。

让模型看着界面操作时，它看到的是截图或界面结构，不是你的意图。日志要留下它点了什么。涉及支付、发送和删除，停下来等人确认。不要为了演示顺滑而关掉确认。

停机写三数

三个数就够开始：同一工具最多几次，整轮最多几步，连续失败几次就停。停的时候写入原因和最后一次原始返回。没有这三个数，超时是唯一的结束方式，复盘只能看到“中断”。

回放至少六项

运行编号、步骤、工具名、参数摘要、结果摘要、是否经人确认。参数里的密钥和完整证件号不要进日志。能按运行编号把六项调出来，才谈得上以后改规则。

常见的设计是一步观察、一步动作、一步检查。检查失败就回到动作，但受次数限制。这个循环可以放在状态图里。它提高的是可检查性，不是正确率的保证。

用一次越权尝试验收

在测试环境放一个不在清单里的写动作，让任务自然走到需要它的那一步。期望是停，并写下不在清单，而不是调用成功。生产环境不要用真实付款做这个试验。

再让一个允许的只读工具连续失败。它应在你写的连续失败次数处停，日志有原因和最后一次原始返回。停在超时，说明这三个数没有进程序。

回放按运行编号调出六项。调不出，或调出了密钥和完整证件号，这一版都不能扩大工具范围。先改日志，再谈增加动作。

试验用的写动作用完即从测试清单删除，避免下次初始化又被带上。生产清单以代码里的允许列表为准，不以界面上的开关为准。

用效率龙虾改这份稿