从知识到执行：闭环要同时成立的三个条件

从知识到执行，指的是让 AI 不只回答问题，还能沿着业务规则把动作做下去。这两个阶段之间的距离通常被低估：问答出错的代价是一次误导，执行出错改变的是真实状态，而很多状态改回去的成本远高于改过来

知识引擎的天花板

知识引擎能把答案找出来，但它改不了任何状态：不会自动下单、不会改工单、不会发消息。这个边界不是技术缺陷，而是设计选择 —— 一旦越过，同一套系统里「答错」和「做错」就变成了同一件事。

闭环要同时成立的三个条件

• 权限落到数据：系统知道当前任务的发起者能看哪些数据，而不是套用一套通用权限。
• 工具可安全调用：能被调动的接口有明确范围、参数校验与撤销方式。
• 关键动作有人审批：影响资金、对外承诺或不可逆状态的动作，保留人工确认环节。

三条是「与」的关系而不是「或」。只做权限而工具没有边界，越权的动作照样能执行；只做工具而权限是通用的，模型会拿到不该拿的数据；前两条都做了但没有审批，错误会以系统速度扩散。

权限为什么要落到数据

• 按任务授权：权限跟着当前任务走，任务结束权限失效，而不是给人一套长期有效的范围。
• 检索前过滤：在取数阶段就限定范围，比事后检查输出更可靠。
• 动作与数据同权：能读到什么，决定它能改什么，两者不应分开设计。

工具调用怎么才算安全

• 白名单：可调用的接口是列举出来的，而不是全量开放后再设限制。
• 参数校验：接口自己校验参数合法性，不依赖上游传对。
• 幂等：同样的请求重复执行不产生副作用，避免重试造成重复动作。
• 可撤销：动作有对应的回退方式，或者至少能标出需要人工处理的范围。

审批环节放在哪里

• 涉及资金与对外承诺的动作：这类动作错误代价高，保留人工确认。
• 涉及不可逆状态变化的动作：删除、关闭、归档一类操作，确认后再执行。
• 高频低风险的动作：可以只留痕不拦截，否则审批会变成走过场，反而没人认真看。

智能体接在哪里

合理的接入位置是编排层，而不是直接连业务系统。编排层负责三件事：把请求拆成步骤、按步骤判断权限、在需要审批的步骤上停下等确认。直接连系统的做法在演示里更快，上线后最难收拾。

边界

「能执行」不等于「该执行」。有些环节人工处理只需要几分钟，而一旦交给自动流程，出错后的排查与修复会消耗更多时间。判断标准不是技术可行性，而是出错之后能不能收回来。