生产环境私有化部署：把 Agent 关进笼子里跑

个人用 agent 和团队在生产环境用 agent，是两件事。后者要考虑的是边界、审计和兜底。我把这次的私有化方案写下来。 第一层，网络边界。agent 的模型调用要经过公司统一的出口网关，不能让它自己直连外部 API。这样做的好处是：能统一做流量审计，能统一管理密钥，能在必要时一键切断。具体实现是给 agent 配一个内部代理地址，同时用防火墙规则禁止它绕过代理访问外网。 第二层，权限边界。核心原则是最小权限。给 agent 的凭据只授予它完成任务必需的权限，比如只读的代码仓库访问、只有特定表的数据库读写。绝对不要给它生产环境的写权限，生产改动必须有人工确认环节。这些凭据要能随时吊销，并且有有效期。 第三层，执行边界。agent 执行的命令要在受控环境里跑，容器或者沙箱。关键限制有三条：文件系统只挂载工作目录、网络访问白名单、CPU 和内存设上限。Claude Code 侧有个细节值得注意，auto 模式新增了 Containment Escape 规则，对于访问云元数据凭据、绕过出口、跨租户访问这类动作不再自动批准，这是很必要的防护。 第四层，审计边界。所有 agent 的操作要留痕：读了哪些文件、执行了哪些命令、改了哪些代码、调用了哪些接口。这些日志要能关联到具体的会话和操作人。出了问题时，这是唯一能还原现场的依据。 第五层，兜底方案。要有能力一键停止所有 agent 活动。听起来很基础，但真出事的时候，能快速止血比什么都重要。 关于产品选择的现实考虑：MiMo Desktop 目前不在欧盟、英国、韩国提供服务，如果团队有这些区域的业务，方案里必须有替代路径。MiMo Code 走 MIT 开源，需要强合规的团队可以自己部署和改造，这条路更可控。 一句话：agent 的能力越强，围栏就要越结实。这不是不信任技术，是工程的基本素养。