很多人第一次把 AI 接到后台时，想的是：终于不用自己盯着了。
让它看日志、整理邮件、分析内容数据、改一段配置，甚至帮忙发布东西。听起来都很顺手。
可真正危险的地方，往往不在 AI 会不会答错，而在它答错以后，究竟能动多少东西。
如果它是用你的主账号干活，答案通常很简单：你能删什么、能改什么、能发什么，它大概率也都能。一个理解错的任务、一条被带偏的指令，爆炸半径和你本人一样大。
这才是“别给 AI 主账号”的意思。
不是把 AI 当成坏人，也不是从此别让它碰真实工作。恰好相反，越想让它进入真实流程，越要先把钥匙拆开。
主账号不是方便，是一整包默认权限
主账号最容易让人放松警惕，因为它确实方便。
登录一次，所有东西都通了：网站后台、部署平台、邮箱、云盘、数据表、内容工具，甚至支付和广告账户。人自己用的时候，大脑里有上下文，知道哪一页不能碰、哪一个按钮不能按。
AI 没有这种天然的分寸感。
它会按照拿到的材料和任务继续往下做。多数时候它并不是故意越界，而是你给它的权限太大、目标又太宽。你说“把这批内容处理一下”，它可能理解成要帮你改标题、移动文件、清理旧稿；你说“看一下后台有没有问题”，它如果天然继承了你的高权限，理论上能碰到的就不只是日志。
所以别只问：它会不会犯错？
更该问的是：它犯错时，能把事情弄到多大？
这两个问题差得很远。
Vercel 给 Agent 单独发工牌，先把“它是谁”分出来
7 月 21 日，Vercel 介绍了新的 Vercel Agent。它能在生产环境里调查异常、回答项目问题，并在得到批准后采取动作。真正值得注意的不是它又多了什么功能，而是它处理权限的方式。 Vercel 的官方说明写得很直白：这个 Agent 以独立身份 vercel-agent 运行，默认只读。
这件事听起来很技术，翻成人话就是：不要让 AI 冒充你上班。
它做的动作可以单独识别，也能追到是谁发起、谁批准。更关键的是，它不会一接入就继承操作者的全部权限。它拿到的是被批准的那一小段能力，而且不会超过发起人的已有权限。
这就是“单独工牌”的价值。
很多 Agent 的默认逻辑是：你连上它，它就用你的身份和权限干活。Vercel 想做的，是把这件事拆开：人还是人，Agent 是 Agent。即使都在同一个项目里，也不要混成一个影子账号。
这不是形式主义。
出了问题时，你至少知道是谁做了什么；更重要的是，它从一开始就不该拥有你所有能做的事。
默认只读，才是比较像样的默认值
最容易犯的错是，一上来就把权限开满，心想反正以后用得上。
但对一个刚接进工作流的 AI 来说，“以后可能用得上”是最危险的授权理由。你现在只想让它找异常，它却已经有了发布、删除、改配置和调预算的能力。这不是高效，是把无关的风险一起打包进来。
Vercel 的做法很值得抄思路：默认只读。
先让 Agent 看日志、看指标、看部署记录，查清楚发生了什么，给出判断和计划。需要回滚部署、改配置或清缓存时，它再申请这件事所需的权限。计划完成，权限回到只读。
官方把它叫作“计划即权限”。名字不用记，逻辑很好记：
先看 -> 交计划 -> 人批准 -> 只做这件事 -> 做完撤回你不一定有 Vercel 的系统，也不需要马上做一套复杂的权限平台。但这个顺序可以直接迁移。
让 AI 看一周内容数据，可以。让它先总结、找异常、列依据，也可以。
但它要不要自动发一条内容、删一份文件、改一次投放预算、替你回一个客户，这些就不该因为“它已经接上后台了”而默认同意。
权限要跟任务走，不要跟账号走
很多人授权时的习惯是按账号分：这个账号管理员，那个账号编辑。
AI 更适合按任务分。
比如你想让它复盘最近七天的内容数据。别给它整个账号的管理权限，再说“你帮我看看”。把任务写小一点：给它近七天的作品数据、评论表和选题列表，让它只找三个异常点，每一个结论必须附来源，再给出下一周的选题建议。
同时把禁止动作写死：不发布，不删文件，不改预算，不替人回复客户。
这时它就不是一个拿着万能钥匙、自己揣测你意图的“全自动运营”。它只是一个能读材料、整理证据、交建议的助手。
这不是阉割 AI 的能力。
这是先把它放到一个你能验收的位置。先跑稳一个小闭环，再决定要不要把下一步交给它。
代码能跑，也不等于可以碰生产
AI 写代码时，这个边界更容易被忽略。
一段代码看起来没问题，真正跑进生产环境以后，才可能碰到用户数据、真实配置、线上流量和成本。Vercel 在官方说明里给出的另一层做法是：把 Agent 生成的代码先放进 Vercel Sandbox 这种隔离环境里，跑真实项目的构建、测试和 lint，通过后再以 PR 的形式交给人处理。
这里最重要的不是“沙箱”这个词。
是你要把“它写出来了”与“它可以上线”分成两件事。
对普通人做网站、脚本或自动化也是一样。第一版可以先在副本、测试文件夹、预览环境里运行。别把“帮我试一下”直接翻译成“请在正式后台执行”。
保留旧版本，留一个能回去的出口，再让人点最后的确认。
这样就算 AI 写歪了，代价也不会从一次小返工，直接跳到一次线上事故。
AI 授权四问，别等出事才补
以后只要 AI 要接近你的账号、后台、文件或业务工具，先停十秒，把这四句问完：
- 它用谁的身份干活？
- 它默认只能看什么？
- 它这次申请改什么，权限给多久？
- 改错时谁能叫停，最后谁确认？
问完以后，你会发现很多任务根本不需要主账号。
它可能只需要一个只读数据导出；一份脱敏的表格；一个专门的编辑账号；一次短时的操作许可；或者一份先给人看的计划。把这些东西拆开，麻烦确实会多一点，但那点麻烦是在替你把错误关在小房间里。
别把安全理解成“不让 AI 干活”。
真正能长期用下去的方式，是让它先拿到任务，按范围干活，留出日志和确认，再在任务结束后把权限收回去。
AI 可以很能干。
但别让它第一天就拿走你的钥匙。