面向需要安全管控工具调用的智能体平台，提供第二模型自动审批：…

# 智能体第二模型自动审批配置方案

一、整体架构设计

• 第一模型（业务模型）：负责正常任务执行与工具调用决策
• 第二模型（审批/裁决模型）：独立部署，拦截高危操作请求，独立判断
• 审批网关：位于第一模型与MCP工具之间，所有工具调用必须经过网关，禁止直连

二、高危操作识别层

• 建立工具分级清单：将20+个MCP工具分为三级
• 高危级：删库、批量导出用户数据、写库、权限变更类工具
• 中危级：单条数据读写、文件上传类
• 低危级：查询、搜索、只读类工具（可免审批）
• 识别方式：工具名白名单/黑名单 + 参数特征识别（如导出数量阈值、DELETE/DROP语句检测）
• 每个MCP工具调用在网关处解析出 tool_name + args，先做规则匹配，命中高危规则才送第二模型裁决

三、第二模型配置要点

• 模型选择：选延迟低的小参数模型（如各厂商轻量推理模型），拒绝判断不需要大模型能力，重点是快
• 结构化Prompt模板，包含：
• 待审批操作描述（工具名、参数、调用者身份、上下文摘要）
• 输出格式强制JSON：{decision: "approve/reject/escalate", reason: "拒绝理由", risk_level: "..."}
• 硬编码兜底规则：删库、批量导出PII数据类操作不依赖模型判断，规则层直接预拒绝（保证确定性），仅生成解释理由时调用模型——这是5秒内响应的关键

四、5秒延迟保障措施

• 规则前置：约80%高危操作由规则直接拦截（毫秒级），模型只生成理由
• 流式输出：理由生成用流式返回，边生成边下发
• 超时熔断：设置2-3秒裁决超时，超时默认拒绝（fail-closed原则），不可fail-open
• 并发限制：审批请求队列优先级队列，高危操作插队处理

五、执行闭环

• 拒绝时：向第一模型返回结构化拒绝结果，触发友好话术，记录审计日志
• 人工兜底：对 escalate 类操作转人工审批队列
• 全量审批日志落库，支持事后审计与规则迭代

核心建议：确定性拒绝靠规则，模型负责理解与解释，切勿把高危判断完全交给概率性模型。