先管理身份与能力，再扩大使用范围
企业内的 Agent 不应只被视为一个聊天入口。它会调用工具、读取企业知识，并在部分场景中推动实际操作。因此，企业首先需要明确每一个 Agent 的身份、所属团队、可使用的能力以及生命周期状态。
标准化 Skill 的价值不在于堆积模板，而在于把已经验证的工作方法沉淀为可评审、可版本化、可发布的能力资产。这样团队可以复用经验，同时保留对适用范围和变更节奏的控制。
EACP / 治理
AI Agent 治理指南
面向技术负责人、架构师与安全团队，梳理企业让 Agent 进入生产环境前需要先建立的身份、能力、权限、审批与审计边界。
高风险行为应当有清晰的责任路径
治理不只是“是否有权限”。当 Agent 面对敏感数据、生产发布或跨系统操作时，企业还需要识别风险等级，并在必要时引入人工确认。审批的作用是让关键决策有明确责任人，而不是让所有操作都变慢。
审计记录则把用户、Agent、工具、时间与结果串联起来，使团队能够复盘一次请求经过了哪些约束、是否被批准，以及结果是否符合预期。
用评估问题建立共同语言
治理指南用于帮助技术、业务与安全团队围绕同一组问题开展评估：哪些能力可以复用，哪些数据可以访问，哪些动作必须审批，以及发生异常时如何追溯。
这些内容停留在治理原则与高层控制模型，不公开内部提示词、规则模板、权限算法或实现配置。
受控流程
治理从能力准入到持续复盘
- 01身份登记
- 02能力评审
- 03策略约束
- 04必要审批
- 05使用审计
- 06反馈改进
评估清单
评估时应确认
- 是否能识别 Agent 的归属、状态与版本。
- 是否能区分可复用能力与临时试验能力。
- 敏感操作是否存在明确的审批与责任路径。
- 是否能回溯请求、工具调用与最终结果。