回答问题3：企业场景里别想着一步到位。先让 Agent 当“实习生”比较合理：能看、能建议、能起草，但不能随便删库跑路。等审计链路和权限体系成熟了，再慢慢放权，这比一上来就全自动靠谱多了。
回答问题1：我觉得缺的不是某一个功能点，而是“默认按生产环境来设计”的思路。很多框架更关注能不能跑通任务链，安全往往是后补的。结果就是模型会调用工具、会改文件、会写记忆，但没人持续审计它每一步到底有没有越权。
回答问题4：回答问题4：从体系结构上看，未来更可能向零信任和运行时安全靠拢。Agent 不是静态程序，而是持续与环境交互的自治系统，因此安全控制必须嵌入其运行时上下文，形成动态验证与最小权限约束。