智能体一旦从演示环境进入真实业务流程，核心问题就不再是能否生成流畅回答，而是它能在多大权限范围内、以何种留痕方式完成操作。受控执行不是上线后追加的合规补丁，而是由权限分层、动作分级、人工触发和全程审计共同构成的前置机制。离开这层约束，模型能力越强，接入系统越多，不可逆操作带来的风险反而越高。
把权限拆成可执行的边界
受控执行首先要求权限不再只是一个“可以访问”的开关，而是细化到身份、数据和操作层面。同一个智能体不应向所有用户开放相同能力：一线人员只能查询本人相关数据，管理者可查看团队汇总，而财务、人事等敏感范围应当默认隔离。工具权限还应进一步区分查询、生成草稿、修改和正式提交。尤其对付款、批量删除、权限变更等写入动作，自然语言指令不应直接转化为最终执行。
用节点和触发条件代替笼统授权
人工复核不能停留在“必要时审核”的表述，而应绑定可识别的触发条件。金额达到一定门槛、涉及敏感客户、出现数据缺失、规则冲突或模型置信度不足时，系统应自动升级或转人工。这种设计不是降低自动化程度，而是让高风险路径被强制进入人工节点。工作流编排需要支持顺序、分支、异常处理和撤销补偿，确保任务在执行中断后能够被定位、重试或退回，而不是在失败后继续向下游写入。
审计记录要覆盖执行全链
全过程审计至少应记录谁在何时发起请求、调用了哪些工具和参数、生成了什么结果、是否被人工修改、最终由谁批准提交，以及异常时采取了何种措施。这些日志不只是追责材料，也是定位错误、优化规则和计算真实收益的依据。试点阶段还可以按只读辅助、受控写入、有限自动化逐级开放：先从检索、分类和建议开始，再开放低风险草稿操作，只有规则清晰且结果可回溯的任务才允许自动执行。
最终判断一个智能体是否具备受控执行能力，不应看它展示了多少自动完成案例，而要看它能否在每个关键动作前识别边界、在边界之外停下，并留下可复核的完整轨迹。