用实时只读与草稿写入约束 Agent 权限

Agent 能查业务数据，不代表它也该能直接发邮件、改账单。dev.to 一篇文章提出 Read-Live / Write-Draft MCP 架构：读取走实时只读工具，业务变更先进入草稿，再由人工确认执行。目前拿到的是摘要与节选，足以讨论权限边界，但不能据此确认其生产安全效果。

目前能确认什么

作者将越权风险主要归因于架构：给自主运行的 Agent 配置缺少范围限制、可以直接执行读写操作的 API token。这是作者的归因，节选没有提供足以验证该判断的事件证据。

他们团队介绍了三道工具路由层约束：

• 实时读取：通过 GET、LIST、SEARCH 查询业务数据。
• 草稿暂存：财务、CRM、对外通信等变更先生成草稿，代码变更以 PR 或经过自测的产物暂存。
• 人工批准：操作员通过专用控制通道确认后，才解锁草稿执行所需的令牌。

MCP（Model Context Protocol）负责连接模型与工具，权限仍需服务端实施。隐藏一个工具入口，与撤销底层凭证的写权限，是不同层面的控制。

我的判断

有价值的设计，是让 Agent 可以准备变更，而正式执行必须经过另一道权限关口。

对接账单、客户资料和邮件的程序员，可以据此检查：Agent 拿到凭证后，是否还能绕过工具路由直接调用业务 API？如果能，草稿机制就没有形成完整边界。

节选中的示例也只能表达思路：它用工具名集合和 hitl_approved 布尔值决定是否放行，尚未展示所谓密码学审批如何验证、批准是否绑定具体草稿，以及草稿修改后是否需要重新批准。

作者声称实现了零未授权变更，但节选没有给出审计证据。能确认的是设计方向；执行凭证如何隔离、审批如何防伪造，仍要等完整实现说明。