可控的 AI
能力开放，边界不开放
企业引入 AI 时真正的阻力不是功能，而是审计问题：谁授权的、能改什么、改了有没有记录、出事能不能撤销。我们把这四问做成上线前的验收表。
基于 26.11.0 整理 · 核验 2026-11-13 功能随版本变化，交付以实际版本为准 · 上游文档
可控的 AI
能力开放，边界不开放
我们把 AI 相关配置作为交付验收项，而不是上线后再补的开关。
身份与授权
助手与 MCP 都走授权，不自建账号体系：MCP 支持 OAuth 2.1 浏览器授权或 JWT（来源 26.9.0 与 26.11.0），助手沿用管理员登录；授权可按资源范围收窄，也可随时撤销。
单一权限面
助手复用与 API 相同的工具，权限跟随管理员角色，不存在第二套权限面；给谁开后台，助手能做的事就与他在 API 上能做的事一致。
写入有人把关
写入一律是 AI 提案 + 人工确认 + 全程留痕：先看修改前后值，确认才落库，确认后仍可撤销；执行、被拒、失败三类都进 Assistant Actions Log。
内容安全护栏
AI 层内置三项：提示注入模式识别、输出净化、个人信息检测。
权限矩阵：交付时逐项签字
| 身份 | 管理员浏览器授权；服务账号按资源范围发放；已连接应用可随时撤销 |
|---|---|
| 可读范围 | 商品、库存、订单、客户、内容、税务、系统配置按角色最小授权 |
| 写入范围 | 默认只读；需要写入的字段逐项列出，并说明谁有确认权 |
| 留痕 | 执行 / 被拒 / 失败三类写入统一日志，约定留存周期与查看人 |
| 模型 | 云模型或本地自托管；写明供应商、请求内容与留存策略 |
| 外部代理 | 按用途分组管控爬虫；MCP 默认关闭，开启需审批 |
上线前必跑的五件事
- 用低权限账号尝试越权写入，确认被拒且日志有记录。
- 做一次写入并撤销，验证回退结果与审计条目一致。
- 构造一条提示注入样例，确认护栏触发且输出被净化。
- 检查 markdown 页面、
llms.txt与robots.txt的暴露范围是否符合商业决定。 - 演练一次关闭 MCP、撤销全部已连接应用，确认店铺照常交易。
这张表是六步交付里第 05 步的验收物。没有签字确认的权限矩阵，我们不建议在生产环境开启任何写入能力。
先聊清楚架构，再谈报价
给我们一份业务规模与现有系统清单，输出一份包含技术选型、交付步骤、AI 配置边界与验收项的搭建方案。
或写信到 hello@magentop.cn；我们只通过邮件回复，不电话跟进。