身份与授权： 每个Agent独立身份+具名责任人； 身份绑定代码哈希与配置基线； 权限两级allowlist：工具×操作； 三个上限：价值/容量/可逆性闸门； 授权做成独立服务，不写在Agent里。