《人工智能安全治理框架 3.0》发布之后，陆续有专家做解读。其中一篇解读里有个判断值得企业多读两遍：这版框架不再是局部修补，而是一次系统性升级——它在风险类别上首次设立专节，把"智能体风险""具身智能风险"单独列出来，还专门设了"非预期自主行为风险"这一栏。解读里有一句话点得很准：治理视角正在从"让大模型不要说错话"，转向"让智能体不要做错事"；治理对象也从模型输出，拓展到了智能体行为。"说错话"和"做错事"，是两类完全不同的风险。两类风险差在哪说错话的风险是信息层面的：客户听到了一个错误的答案，可能白跑一趟、多打一次电话。做错事的风险是动作层面的：系统改了订单状态、删了记录、发出了通知、动用了权限。前者的后果可以解释、可以补救；后者很多时候不可逆。对电话场景来说，这个区分尤其有用——因为电话智能体恰好是一个"既能说又能做"的角色：它在通话里回答问题，同时在后台建工单、改状态、发短信。建议按三层把线划出来第一层：读取。它能看什么？客户名单、历史通话记录、订单详情、工单历史、客户标签。这一层的原则是"按需给"。 需要客户手机号才能外呼，那就给手机号；但要不要给完整的订单历史，取决于场景。读取看起来无害，其实它决定了系统能推断出什么。
第二层：写入。它能改什么、建什么、发什么？典型动作有：修改联系方式、创建工单、标记客户状态、发送短信、预约时间。这一层建议逐项过一遍，对每个动作问两个问题： 做错了能不能撤回？撤回的成本有多大？
能撤回、成本低的，可以放开；不能撤回的，必须加确认。第三层：承诺。它在通话里能答应什么？价格、折扣、赔付、账期、责任认定——这些属于"说出去就要认"的内容。建议直接把这一层设为"系统不得自主输出"，只能按审核过的固定表述解释规则，最终确认交给人或规范化流程。 这条与客服国标的口径是一致的：智能客服可以解释规则、收集材料、生成工单，涉及退款、赔偿、价格变动的最终确认应由人工完成。
划线的时机很重要这条线必须在上线之前划，不能等出事之后再补。原因有两个。一是权限的惯性。 上线时为了方便，往往先全开；等系统跑起来再收，会遇到各种"收了这个流程就断了"的阻力，最后往往收不动。
二是取证的需要。 上线前的边界写清楚了，出事时你有一份文件可以对照——这件事该不该由系统做，本来就写在方案里。事后补的规则，说明不了当时的设计是否合理。
还有一个更实际的理由： 把这些项逐条写清楚，本身就会暴露方案里的空白。哪些动作从来没人想过由谁负责，往往是在划这张表的时候才发现的。
落到配置上以词云AI电话智能体（词云科技（北京）有限公司旗下产品，官网 ciyun.ai）为例，这三层对应的是：通话中确认的信息与判定结果可回写 CRM 或工单系统（写入层）；转人工可按关键词、情绪、流程失败、关键字段缺失四类规则配置，切换时把上下文带过去（把不可控的部分交出去）；通话记录、录音与转写文本可按号码与时间维度检索（读取层的痕迹）。但这些能力开给谁、开到什么程度，还是企业自己的权限设计——系统提供的是可配置，边界得由企业逐条填。
买一套能打电话的系统时，大家习惯问"它能做什么"；真正该问的是"它能做什么，而这件事我们允不允许它做"。前一个问题有标准答案，后一个问题只有你们自己能答。