电子签章流程的自动化正从简单的API集成向自主代理工作流演进，这一技术跃迁带来了显著效率提升，同时也引入了前所未有的执行边界风险。智能体系统的“边界问题”本质上是基础设施的治理问题，而非单纯的行为调优或提示词工程。一个自主代理只能执行其工具集允许其执行的操作，这种“约束”在实践中恰恰构成了最大的风险源。工具集的扩展往往是非预期的累积过程：为特定工作流添加的签章SDK可能保留在全局可用；演示环境下的签名证书密钥可能遗留至生产环境；为了周五快速部署而临时添加的授权可能在后续被永久化。风险在于，这种权力的边界从未经过有意识的决策，而是在多次局部变更中悄然漂移。当有人最终询问“它能不能对这份合同进行签署”时，系统往往已经具备这种能力数周之久。
试图通过在指令中限制智能体的行为来建立安全边界是结构性的失败。智能体的输出是对下一步行动的概率分布，而非确定性指令。当遇到新颖输入、对抗性措辞或异常状态时，边界失效的风险最高，而这恰恰是边界最需要发挥作用的时候。更根本的矛盾在于，指令描述的是意图，而工具绑定描述的是能力。当两者不一致时，能力层覆盖指令层。无论智能体被如何指示“不要对敏感文件执行电子签章”，只要它持有执行该操作的密钥凭证，它仅需要一个推理步骤即可绕过限制。因此，安全边界必须构建在承载能力的平台层，而非智能体的推理层。
建立“安全运行模型”的核心在于构建同心圆的权限控制环，而非依赖智能体自身的自律。这一模型依赖于确定性基础设施与云原生技术的成熟实践。
第一层是核心身份。所有工作负载，包括智能体和工具服务器，必须拥有经过标准化的、短期且经过验证的身份凭证。平台不再信任智能体自称的身份，而是基于验证后的身份执行后续的每一次权限校验。在电子签章场景中，这意味着代理在访问签名服务时，必须通过动态身份令牌进行认证，而非持有长期有效的静态私钥。
第二层是可达性控制。基于身份，强制执行服务网格层面的连接限制。智能体仅能连接到工作流明确声明的特定对等体，且默认拒绝连接。任何新增的连接请求都必须是显式声明、可审查且可归因的。这切断了“暗度陈仓”式的权限累积。例如，签章代理只能连接至签章服务网关，不能直接访问数据库或文件存储。
第三层是能力控制。能力控制分为准入和调用路径两个维度。准入控制确保智能体只能持有策略中预批准的工具；调用路径控制确保工具的可用性取决于每一次调用的授权。智能体不能因为工具存在于列表中就默认可以调用，必须针对每一次具体操作进行身份验证。
关键的基石在于防止智能体修改自身的权限定义。智能体必须被剥夺修改其自身身份、权限策略或绑定关系的权限。任何权限变更必须通过版本控制的配置文件进行，由人工或管道执行，而非在运行时动态修改。这确保了边界具有不可逆性。
在数据层，基于核心身份进行数据范围限制。数据平面根据身份验证结果，在允许访问的数据源内部进一步过滤可见的记录行。这实现了细粒度的数据治理，确保代理只能访问待签署的文件，而无法浏览历史合同或用户信息。
智能体不应是系统决策的最终执行者，而应作为“非确定性执行”附着在“确定性脊柱”之上。确定性的脊柱包含工作流、状态、审批记录和溯源信息。智能体负责解读文档、权衡信号和起草建议，但其输出必须通过“提议变更”或“拉取请求”的形式，经过人类审核和管道应用。在合规场景下，智能体可以输出风险建议，但最终的电子签章动作必须通过平台强制执行，智能体无法绕过这些确定性门控。这种架构使得审计成为系统运行的副产品，而非事后补救。
