从聊天机器人逐步进入可控业务动作
分阶段加入检索、只读工具和获批写入，每一步都可测试与回退。
保留现有任务基线
收集聊天机器人无法完成的请求：缺少政策来源、需要查业务记录、需要执行操作。先归类缺口再引入 Agent。缺文档可能需要检索；可预测的审批可能更适合固定流程，不必交给自主规划。
分阶段增加能力
- 有依据的回答： 检索获准文档，提供可复核引用，拒绝无依据结论。
- 只读工具： 按调用者权限查询记录，限制参数并返回结构化结果。
- 建议动作： 向有权审批人展示拟修改内容与依据，暂不执行。
- 获批写入： 执行范围明确的操作，验证回执，并处理重复投递。
每阶段都定义允许输入、预期输出、超时处理和兜底。工具超时意味着结果可能未知，重试写入前先检查业务系统；无法验证成功时，应明确显示未完成状态。
用攻击样本验证动作边界
在检索文档中放入要求泄露其他客户记录或绕过审批的指令。应用仍须执行身份、权限和审批约束。资料与工具结果属于数据，不能成为新的授权。
新 AWS 项目应评估 AgentCore 及受支持模型与工具组合。Agents Classic 有账号资格限制，不能假定旧集成示例可在新账号直接创建。
一次发布一项能力，保留上一阶段供回滚，记录任务完成、人工修正、重复动作与故障。交接时明确每个工具、审批规则和恢复路径的负责人。
官方资料
文档核验日期：2026 年 10 月 17 日。本文为参考指南，本次未执行真实云端 API 调用。