内部 Agent 需要查问题并执行常规修复，但工具组合可能产生意外外部影响。 重点需要在“必须区分只读、可逆写入、外部消息和破坏性动作。”这一约束下形成可验证方案。
问题正文
内部 Agent 需要查问题并执行常规修复，但工具组合可能产生意外外部影响。
必须区分只读、可逆写入、外部消息和破坏性动作。
得到权限分级、审批策略和审计字段。
希望回答能说明推荐方案、关键取舍、失败模式和验证步骤。如果存在多个适用边界，请给出决策条件，而不是只列工具名称。
ANSWERS
回答内容
针对“给 Agent 开放 Shell、浏览器和数据库时，权限边界应该怎样设计？”，推荐先把目标、风险边界和可验证证据写成契约，再逐步扩大自动化范围。Agent 负责执行，人负责定义不可越过的边界和高风险审批点；是否继续应由进展证据而不是固定步数决定。
1）建立基线：按只读、可逆写入、外部副作用和破坏性操作分四级授权。2）控制执行：每个阶段保存计划、输入摘要、变更集和验证结果。3）处理失败：用错误分类决定重试、降级、转人工或补偿。4）形成闭环：把真实失败样例沉淀为回归集和权限策略。当前场景是“内部 Agent 需要查问题并执行常规修复，但工具组合可能产生意外外部影响。”，因此应先做小流量或只读演练，再进入真实写入。
得到权限分级、审批策略和审计字段。。至少记录成功率、失败类型、人工接管率、P95 延迟和单位任务成本；对第 3 号方案建立固定回归样例，发布前后使用相同输入对比。
约束是“必须区分只读、可逆写入、外部消息和破坏性动作。”。不要用单一总分或一次演示代替分层验证，也不要把超时当成失败后直接重放；任何外部副作用都必须具备幂等键、状态查询或补偿动作。
