模式矩阵/模式白皮书/G2

爆炸半径控制假设审批、模型和工具都会出错，提前规定一次错误最多能改变多少资源、消耗多少预算、传播到多少下游。

坐标与边界

治理 × 层级。身份包住能力，能力包住资源，资源再受数量、速率、时间、成本、并发和网络上限约束。多层防线只有在凭证、进程和配置入口真正分离时才具有独立价值。

Hard Envelope 与 Autonomy Envelope

effective_scope = intersect(
    hard_envelope,
    principal_scope,
    task_scope,
    capability_scope,
    current_context_scope,
    evidence_based_scope
)

每次委派只能保持或缩小范围。子 Agent 不得取得父 Agent 没有的工具、资源、预算或时长。

需要聚合的维度

数量、速率、成本和并发不能只按单个工具计算。十个子 Agent 各自低于 100 条，整个 run 仍可能写入 1000 条。限额至少要在 action、run、principal、tenant 和 fleet 中选择合适层级聚合。

运行实例

一批 18 人的薪酬付款已经通过 G1。G2 仍限定单租户、单次 20 条、run 累计 40 条、一个并发写入、Intent 金额上限和更高一级的基础设施绝对上限。重试创建第二批时，幂等键与 run 级限额同时阻断；目标账户换成其他租户时，资源边界先行拒绝。

多 Agent 与编舞

中心编排可直接累计预算；编舞需要共享的 run、principal、委托链和剩余额度。局部 Agent 限额会在扇出、重试和循环中被放大，因此还要限制子 Agent 数量、委派深度和跨域传播。

常见失效

• 把沙箱当成完整业务边界；
• 用 per-tool 限额替代 run 或 tenant 总额；
• Agent 可以改写自己的硬上限；
• 停止开关与 Agent 共用凭证；
• 只在正常路径限界，重试与恢复绕过；
• POST 才发现不可逆越界。

验证

通过故障注入测量最坏对象数、金额、成本和传播范围；演练熔断时延；验证并发、重试和子 Agent 下的累计口径；确认 Agent 无权修改 limiter、kill switch 和证据。

相邻规范

A5缩小能力面，C5隔离子 Agent，G3只在硬边界内调整自治范围。