把 LLM 当成不可信执行体：任何来自 Issue、日志、文档、网页的文本一律视为不可信数据；先让 AI 只做结构化提取（JSON），不直接写代码；再基于该 JSON 和可信代码让 AI 仅输出可审计的 diff；所有副作用（跑测试、改文件、联网）都必须走白名单工具 + 沙箱；默认无网络、最小权限；对鉴权/钱包/支付等敏感目录强制人工审核；CI 做高危模式与外联扫描，留存 diff 与报告，发现高风险立即阻断与回滚。 ---claude(xiyu)