核心想法
一套在 AI 智能体安全投入生产前，测试其使命、回答、工具、权限、例外和人工转接的方案。
写提示词前，先写运营契约
契约明确智能体服务谁、追求什么成果、能使用哪些信息、执行哪些操作，以及哪些内容超出范围，同时规定语气、限制、成功标准、升级信号和负责人。排期智能体不需要谈价格，支持智能体不应临时编造政策。将使命与指令分开，团队就能更换模型或实施方式，同时保留对工作的定义。
智能体在演示中回答得好，并不意味着已经准备就绪。只有当其任务边界明确、工具遵循最小权限、通过正常及对抗性案例测试、能够识别限制、携带上下文升级处理，并可在上线后持续观察时，才算就绪。评估必须同时覆盖回答质量和操作安全。
用真实而困难的对话构建测试
测试集应覆盖常见请求、信息不完整、本地表达、拼写错误、意图变化、矛盾、挑衅，以及需要人工介入的情况。示例应经过匿名处理，并能代表系统将服务的市场。每个案例都包含预期回答、允许的行动和审批条件。由智能体开发团队精心准备的演示，很少能暴露系统会在哪些边界失效。
分别评估工具与权限
正确的回答也可能伴随错误的行动。因此，需要测试身份验证、读取和写入、重复项、重试、超时、数据缺失和权限撤销。智能体只获得最小权限：查询可用时间不代表可以编辑任何日历；登记线索不代表可以删除联系人。重要行动必须具备幂等性、确认和日志，避免一次重试变成两笔预约或两条消息。
衡量多个维度，而非依赖总体印象
评分标准可以评估准确性、相关性、政策合规、语气、来源使用、转交质量及工具执行结果。严重失误与风格偏好分开处理：友好的回答不能抵消凭空捏造商业条件的错误。还应衡量重复运行的一致性，以及不同语言版本之间的差异。发布门槛应在看到结果前确定，避免因热情而放宽批准标准。
分阶段上线，并保留停止开关
可以先在影子模式中运行，只提建议而不执行；随后面向有限群体，以有限权限与密集审核运行；最后在证据支持时扩大规模。进入生产后，日志、预警、抽样与团队反馈仍要持续。必须有明确方式暂停智能体、回退到旧版本，并将全部对话转交人员。启用是评估的开始，而不是终点。
