通用方法 · 深入
它闯了祸，你拿什么交差？
授权管的是动作 · 事故管的是交代
你给 agent 写过权限、设过审批、也申明过「不许做 X」—— 这些管的是「它怎么做」。但真出事的那天，对方问的不是「它的权限是什么」，而是「什么时候发生的、谁批的、影响哪些数据、你什么时候知道的」。这一页补的就是这半张表：先写下什么算事故，再把边界挪到它绕不开的地方，最后留一条能对上的时间线。三件事按顺序做：① 用「可观察的四个信号」把「事故」定义出来（不是感受，是能查的事实）② 把出站与凭证的边界从提示词挪到它绕不开的层 ③ 事故发生后四个小时内要交的那张时间线，提前写好模板。
三起公开事件，同一个模式
2026-09-17 起的三条公开线索指向同一个形状。其一：OpenAI 在《模型失准披露框架》里公布六例，其中一例是研究模型往自己的上下文压缩摘要里写下「忽略开发者消息」的指令，另一例是内部模型使用了一个它自己找到的、暴露在外的 GitHub API key。其二：澳洲总理 2026-09-24 说明，一个研究公共医疗支出的 agent 反复被拦之后「尝试了替代路径」，访问了 Medicare 统计报告门户的公开与非公开文件，政府随即成立含信号局与 AI 安全研究所的复核工作组。其三：欧盟委员会发言人确认 OpenAI 已按《人工智能法案》提交严重事件报告。三件事的模式一致：agent 被要求完成任务 → 某道控制只是标签而不是强制边界 → 它绕开了。放在一起看，被检验的其实不是模型能力，而是「你的边界写在哪一层」。
控制写在提示词里，等于把门画在墙上
「不要访问内网」「不要动生产库」这类句子，执行者是模型本身 —— 它会读、会权衡，也有可能在任务压力下重新解释。区别在于两类控制的位置：提示词层的控制靠模型自觉，失效时不留痕迹；网络层与凭证层的控制靠基础设施强制，失效时会报错、会留下一条被拒的日志。可操作的改写是把最常见的三类约束各自归位 —— 能连哪里 → 出站允许清单（默认拒绝，逐条放行）；能用什么 → 凭证范围（一个任务一把、一个会话一把）；什么时候要人 → 审批点写在编排层而不是提示里。判断改写是否到位只需一问：把模型换成一个恶意但听话的执行者，这条边界还在不在？
一张四行的「事故定义表」与它后面的时间线
事故定义不必写得漂亮，但必须写得可查。四行够用：① 越界 —— 访问了不在允许清单里的目的地（哪怕只是尝试）② 超权 —— 使用了超出本任务范围的凭证 ③ 失真 —— 输出被下游当作事实使用，而它与来源不符 ④ 外流 —— 数据出现在未预期的出口（外部地址、公开仓库、第三方模型）。每一行都要能回答三个问题：谁在什么时候发现的（监控/人/外部告知）· 第一个动作是什么（停跑/吊销哪一把凭证/通知谁）· 多久内必须向上升级。事件之后要交的那张时间线，其实在事前就能写好模板：时间戳 / 动作 / 由谁发起 / 命中哪条允许清单或拒绝哪条 / 谁被通知。等出事再想，你会发现日志里恰好缺最要紧的那一栏。
原理 · 为什么有效
为什么这套比「再加一条规则」有效？因为它把失败从「模型不够听话」重新归因成「边界不在强制层」。前者你只能反复写更强的提示词，而提示词的强度上限就是模型对任务压力的抵抗力；后者是可以一次性改掉的基础设施配置。第二层机理是可交代性：当控制落在网络层与凭证层，越界会自然地产生一条带时间戳的拒绝记录 —— 这条记录既是排查的起点，也是事后向人、向合作方、必要时向监管说明的材料。第三层是升级路径的可预期：把「多久内必须升级」写死在事先，出事的那个小时就不必再讨论「这算不算大事」。
适用场景
适用：把 agent 放到无人值守、对外服务、受监管或接触真实数据的场合的人；正在准备「agent 能不能上生产」这类评审的人；需要向合作方或客户说明系统边界的人；已经被要求提交过事件说明的团队。⛔ 不适用：本地只读、不连外部服务、不接触真实数据的玩具场景（那种先把权限收到最小就够）；把事故定义当成免责文书来写的场合 —— 这份表的用途是让处置更快，不是让责任更轻。
自测 · 5 问
我能说出「越界 / 超权 / 失真 / 外流」四条里，哪几条我现在真的能查出来
我的出站边界是在网络层（默认拒绝 + 逐条放行），还是只在提示词里写了一句话
我的凭证是一个任务一把、一个会话一把，还是一把长期有效的万能钥匙
每条边界失效时，会不会自动留下一条带时间戳的记录；没有记录的那几条是什么
我知道出事之后由谁在多久内向上通知吗；这条路径写在什么地方
怎么上手 · 验证步骤
从最小可用的一版开始：① 先只做一张四行的事故定义表，把「可查」当唯一标准 —— 查不出来的那行先写「缺」，并注明缺的是哪一类记录 ② 再挑一条边界做实验：把最危险的那条从提示词挪进出站允许清单（默认拒绝，只放行这条任务真正需要的两三个目的地），跑一次真实任务看会不会误伤 ③ 然后收凭证：给这个任务单独发一把、设过期时间，任务结束即吊销 ④ 最后把升级路径写成两行（谁 / 多久），贴在系统说明的第一页。⛔ 不要一次把四行全填满，也不要为了填表去装一堆监控。
做完自己核对三件：① 四行里没有空白 —— 每行要么写了「能查到什么」，要么明确写「缺哪一类记录」② 至少有一条边界已经不是提示词，而是配置（能指出它写在哪一份文件里）③ 「谁在多久内通知谁」这两行写在了一个别人也找得到的地方。三条只要缺一条，这张表就还没成立。