让 Agent 懂业务，但不越权

适合想把内部术语、输出规范和业务工具交给 AI 的团队。目标是：业务背景可以随时热更新，而 AI 能调用什么、哪些操作要人确认、能执行哪些命令，都由独立的设置控制，并且每次执行都能回看。

四个开关各管一件事

关键在于：写进提示词的内容不会给 AI 增加任何权限。 权限由另外三处单独控制。

设置	负责	不负责
Prompt Section	术语、规范、工具使用提示	不授予工具或数据权限
工具（tools/）	输入格式、执行逻辑、返回给模型的结果	不决定命令执行策略
requiresApproval	哪类调用需要人确认	不扩大工具的可见范围
ai.agent	命令执行预设、白名单、最大迭代次数	不修改提示词内容

实施步骤

1. 在插件的 prompt-sections/ 里写业务背景，标明是必需（required）还是可省略，并控制长度。写法见 给 AI 补充业务背景。
2. 在 tools/ 里只暴露必要的工具，输入用结构化 Schema 定义；会修改数据的工具不要设成"永不审批"。
3. 命令执行先从 execSecurity: deny 或 allowlist 起步，只在已知工作目录里放开需要的命令。
4. 启动后在 Console 的“运行时能力 → Prompt Sections”核对来源、适用场景和预算策略。
5. 在 Agent 工作台各跑一条只读任务和一条有副作用的任务，确认审批、取消、执行记录和产物都符合预期。

验收清单

• 改了业务背景但热更失败时，进行中的对话仍使用开始时的内容。
• Console 能显示 Prompt Section 已生效，但不会泄露它的正文。
• 取消后的工具调用不会显示为正常完成；有副作用的结果可以审计。
• 工作目录和安全策略由每次执行明确选择，不会因为聊天里的一句话被提升。

下一步

• Agent 工具与技能：工具、Prompt Section 与审批的完整写法
• Agent 深入：一轮对话如何运行、如何取消