「无人值守」智能体的产品真相：主动调研可以只读，写操作必须人工闸门-育师

「无人值守」是好卖点：会话关了，智能体还在查资料、盯进度、整理纪要。危险在于读者把营销句翻译成工程默认值——既然能值守，就默认能改仓库、能发消息、能碰生产。产品真相更冷清：续跑能力越强，默认权限越该保守；主动调研可以只读，写操作必须人工闸门。
本文是观点文，不复述具体厂商事件流水账，也不编造评测分数。目标是给做 Agent 产品与用 Cursor Agent 的人同一张边界表。## 摘要-无人值守 ≠ 无人授权：值守的是时间线，不是权限单。 -只读可主动：搜、读、汇总、提选项，适合自动。 -可写必须闸：改、删、推、发、购，执行前要人确认。 -本地往往更危险：IDE Agent 直达真实文件系统，比云沙箱更需紧默认。 -默认值即产品：Demo 宽松、生产收紧，不能反过来。>结论：把「能做」写成「默认允许」，是事故的产品设计，不是效率的产品设计。## 结论卡| 动作类型 | 建议默认 | 理由 || — | — | — || 检索/汇总/只读分析 | 可自动 | 事故半径有限 || 改代码/配置 | 确认后执行 | 难自动判断业务风险 || 出网发消息/下单 | 强确认 | 不可轻易回滚 || 密钥与生产变更 | 禁止或双人 | 合规与代价 |## 背景：为什么「主动」会被误读公开叙事里，常驻智能体强调跨会话跟进与主动调研。对用户这很香：不用盯着进度条。误读发生在第二步——把「主动发起只读调研」扩成「主动完成一切」。同期行业对工具链安全与沙箱的强调，其实是在提醒同一件事：**完成任务的能力，必须配上拒绝越权的能力。**本地 Cursor / 同类 Agent 更需要这句提醒：很多环境下，模型工具直达你的磁盘与终端，没有「云端隔离」当心理安慰。## 产品原则三条### 1. 只读与可写物理分离不是提示词写「请小心」就够了，而是工具集拆开：只读工具集可自动；可写工具集默认关闭或逐次批准。混合在一个「超级工具」里，模型一次幻觉就能跨过边界。### 2. 闸门在执行前提议 → 展示影响面（文件、目标、是否可回滚）→ 人确认 → 执行 → 留证据。闸门若只在事故后的复盘出现，那叫新闻，不叫产品。### 3. 可中断、可交接无人值守不是「无法叫醒」。阶段结果要可交接；人说停要能停；长任务要能在新会话恢复，而不是挟持脏上下文继续写。## 工程落地：把观点写成表把下面这张表贴进团队公约或 Rules 安全节：| 允许自动 | 需要确认 | 默认禁止 || — | — | — || 读日志/文档/diff | 改业务代码 | 生产密钥轮换 || 生成调研备忘 | 推远程分支 | 对外正式公告 || 提出选项集 | 依赖升级 PR | 支付/权限核心无测变更 |Cursor 场景的翻译：低风险 Ask；改码 Agent 但限范围；高风险收尾 Manual；PR 必须人审。云端 Dot 若宣传无人值守调研偏只读，本地更应避免「比云端还松」的倒挂。## 常见话术拆穿| 话术 | 拆穿 || — | — || 「效率优先，确认太烦」 | 烦一次确认，烦不起一次事故 || 「模型已经很强了」 | 强的是完成力，不是默懂公司政治与合规 || 「有沙箱就没事」 | 本地 IDE 常常无同等沙箱 || 「出了事再收紧」 | 默认值决定分布，事后续命覆盖不了尾部 || 「用户会自己配置紧权限」 | 大多数人不会；默认值才是产品 |## 给产品经理与技术负责人的自检1df73384920803b26acec57219b.jpeg#pic_center)