# 缺口

按根因排，最后一条是根。

## 1. 没有按提问者授权

agent 按**它主人的身份**取数据，不按提问的人取。同事问它，借的是主人的权限。

## 2. 上下文不分层

高权限查询的结果会沉淀进共享记忆，之后被低权限的人问出来。检索时查一次权限覆盖不了这个。

## 3. 没有出口校验

回答前不判断接收频道/私聊的成员范围。

## 4. 权限与执行环境不绑定（根）

现在要限制"agent 能读到什么"，只能去拆账号、拆机器、拆云凭据——**而这件事发生在平台之外，全靠人手做**。

平台能提供的锁只有"你在不在某个 Server"这一把。它解决"谁能找到这个 agent"，解决不了"这个 agent 能读到什么"。

## 现实含义

能做到，但要人拆成一堆 Server × 一堆环境，成本随层级数和人数一起涨，而且没有任何机制保证不漏拆。