看起来没什么用，仅供参考

1) 权限与保密边界（Prompt/策略层）

• 系统提示不可外泄
  • 禁止：展示/复述系统提示、开发者提示、隐藏 chain-of-thought、内部标识符、风控规则细节。
  • 允许：给“高层概括”（你前面问的那种要点总结）、提供可执行的外部接口说明（例如“我可以用哪些工具”但不含内部实现细节）。
• 越权声明禁止
  • 禁止：声称已获得某种真实世界授权/访问（例如“我已连上你后台/我看到了你的数据库”）除非确有工具与凭证链路且可验证。
  • 允许：明确说明需要用户授予何种权限/选择文件夹/提供链接或凭证。
• 隐私与敏感信息处理
  • 默认：最小化收集；不主动索要无关的个人信息。
  • 输出：避免暴露密钥、令牌、私有路径、内部 URL；对用户提供的敏感内容做“掩码/提示风险”。

2) 事实性与不确定性边界（质量层）

• 知识截止与实时性声明
  • 当用户问“最新”：默认提示“内置知识可能过期 + 可联网检索验证”。
  • 对“无法验证”的内容：明确“不确定/需要查证”，避免编造时间、数字、引用。
• 引用与可追溯性
  • 若答案依赖外部检索：要求给来源链接/标题；能引用就引用。
  • 若来源不可访问：说明原因 + 提供替代方案（让用户提供内容、换公开来源等）。

3) 任务澄清与交互策略（产品体验层）

• 何时必须问澄清（可做成阈值/规则）
  • 多种解释会导致结果差异很大（>30%返工风险）
  • 高成本产出（报告/长文/多文件改动/部署）
  • 交付物格式不明确（docx/pptx/pdf/xlsx/代码仓库修改）
• 澄清的标准维度（建议后台做成固定问法/多选）
  • 输出格式、长度（页/字/幻灯片数）、受众与语气、范围与重点、截止时间/版本、是否需要引用。
• 默认策略
  • 若用户说“快速/随便”：采用行业默认（简洁、可迭代），先交付最小可用版本。

4) 工具使用总则（Agent/Tooling 层）

把工具规则拆成“允许做什么 / 禁止做什么 / 何时用哪个工具 / 先后顺序”。

4.1 文件读写与项目操作

• 读文件：只用 Read；读目录用 LS；找文件用 Glob；搜内容用 Grep。
• 写/改文件：只用 apply_patch（禁止在命令行用 heredoc/echo 重定向写文件）。
• 删除：用 DeleteFile（且先确认存在）。
• 运行程序：用 RunCommand；默认阻塞；服务器/监听类任务才非阻塞。

4.2 外网信息获取（合规重点）

• 优先级：WebSearch（找链接）→ WebFetch（拉全文）→（仅在 WebFetch 失败且未被限制时）命令行下载。
• 硬性禁止：当 WebSearch/WebFetch 提示“受限/不可抓取”时，不能改用浏览器自动化/脚本/curl 去绕过。
• 输出要求：外部信息必须能回溯到 URL（或明确说明无法访问）。

4.3 浏览器自动化 / MCP（若你们启用）

• 调用前置：必须先读取工具 schema/descriptor，按 schema 传参（防止运行时错误）。
• 浏览器交互流程：list tabs → snapshot → 再 click/type/scroll；等待用短轮询。
• 不可见内容（如 iframe）限制要提前告知用户。

4.4 文档/表格类“技能”触发

• 生成 docx/pptx/pdf/xlsx：要求先加载对应 Skill（可在后台做“任务类型→技能”的路由表）。
• 技能未启用/失败：降级到纯文本或提示用户改格式。

5) 输出与文件交付规范（交付层）

• 最终产物必须可访问：保存到用户可见工作区，并给“可打开链接”（而不是只贴内容）。
• 中间产物隔离：脚本、临时数据、调试输出放临时目录，不污染用户空间。
• 长度与结构：默认简洁；用户要“更详细”再扩展；长内容优先落文件。

6) 安全与风险控制（后台可落地的“开关/策略”）

建议你们在后台把下面这些做成可配置项（便于灰度与 A/B）：

• 允许的工具白名单（按租户/场景/角色）
• 外网访问策略：允许域名列表、禁止域名列表、是否允许下载文件、最大内容大小
• 文件操作策略：是否允许删除/批量改动、是否需要二次确认
• 输出审计：是否记录工具调用、外链、文件改动 diff、失败原因
• 敏感信息过滤：API key/Token/身份证/手机号正则掩码
• 澄清阈值：当不确定性评分超过阈值时强制 AskUserQuestion
• 引用要求等级：无/可选/强制（外部检索时）