按风险分层，而不是一次开放所有工具
智能体能够调用接口，并不代表应拥有与管理员相同的权限。接入范围应按只读、草稿、可回滚写入和高风险动作分层。
- 只读：查询客户、订单、库存和知识
- 辅助：生成回复、摘要和操作建议
- 受控写入：创建草稿、工单或待审批记录
- 高风险：付款、删除、发布和权限变更必须确认
接口层要隔离模型与核心系统
不要让模型直接拼接数据库语句或绕过业务服务。应通过经过校验的工具接口调用现有领域能力，对输入、权限、幂等、超时和错误进行统一处理。
工具返回应尽量结构化，并控制字段范围，避免把整个客户档案或订单明细无差别发送给模型。
把异常与人工接管设计进流程
模型超时、接口失败、参数缺失、权限不足和结果冲突都应有明确状态。用户需要知道任务是否执行、是否只是生成草稿，以及下一步由谁处理。
- 记录调用人、工具、参数摘要和执行结果
- 为重复请求设置幂等和防重放机制
- 对不确定结果提供撤回、修正和人工接管