每個一人公司的建造者，最後都會回答一個問題——而且通常是在答錯一次之後：

哪些答案，我可以不檢查就直接照著行動？

注意，這不是「AI 能做哪些任務」。那是能力問題，而它的答案每隔幾個月就變一次。這是一個分類問題，它不隨模型改變，只隨任務改變。

先說清楚：這個框架不是這篇文章的價值

老規矩，先坦白：評分框架本身並不新，也不是我們的。 監管機構、企業資安團隊、學術團隊都發表過各自的版本。微軟的 agentic 風險指引寫著：對高風險或不可逆的動作，要求人工核准。DeepMind 一篇關於委派的最新論文，把「可逆性」列為決定你能下放多少權限的軸線。實務工作者則發表權限矩陣，用影響範圍 × 可逆性 × 代價替每個動作評級。如果你要的是通用框架，那些來源會比一個一人公司的部落格更能幫上你，我會把它們列在最下面讓你自己查。

但那些文章，沒有一篇是為你寫的：一個人、一個產品、你自己的憑證，而且沒有合規部門在後面幫你接住失誤。所以值得寫的，是這一塊。以下是這條規則，套在一個一人公司的情境上。

分類規則

用三個軸替任務評分。取最高的那一軸，決定等級。

可逆性      一鍵還原  →  花幾小時救得回來  →  無法逆轉
影響範圍    只有我、本機  →  我自己的生意或錢  →  別人
出錯代價    微不足道  →  金錢、期限、信任  →  法律／安全／名譽

結果是一個等級，而等級決定的是控制方式，不是你給多少信任：

等級意思控制方式
G0唯讀、本機、無關緊要直接交出去——這正是 agent 存在的意義
G1影響範圍小、可還原讓它跑，但要留紀錄
G2任一個軸偏高設閘——agent 提案，你扣板機
G3不可逆，而且（對外 或 嚴重）絕不讓它自己跑——要防範，不是靠覆核

要用真實的可逆性評級，而不是「我的編輯器有沒有 undo」。一條 shell 的 rm 就是 G3，即使你的 IDE 可以倒帶——因為倒帶蓋不住 shell 的副作用。這跟我們另一篇談「完成」是一種宣稱，不是事實的紀律是同一個家族，差別在於：那篇講的是驗證產出，而這篇高了一層——決定「哪些產出，你本來就被允許不看著就照著行動」。一個「無論 agent 誠不誠實都成立」的控制，不是驗證儀式，那叫圍籬。

交出去之前，先替這個任務評分

可即時試算——改動任何數字，下方結果立即更新

什麼可以放手交給 agent 自己跑，取決於任務本身，而不是模型有多強。替三件事評分——可逆性、影響範圍、以及出錯的代價——再看它落在哪一級。

這個計算器完全在你的瀏覽器裡運算——不發任何網路請求、不做儲存、這個區塊也沒有埋任何追蹤。你填的數字不會離開這個頁面。（網站本身在其他地方有標準的流量統計；這個方塊不會碰到它。）

那個讓我把它寫下來的案例

這就是讓我決定把這件事寫下來的案例。匿名處理，因為這個網站就是這樣運作的。

我在追蹤一段減脂期。我以為自己在掉體重——我自己的 app 顯示一天降、一天升，而我只讀了我想讀的那個趨勢。於是我把整份資料一次交出去，未經篩選，問了一個很直白的問題：我到底是真的在減，還是只是在維持？

它回我：在維持。 然後據此調整了計畫。

它是對的。但真正重要的，是它為什麼被允許是對的——這才是整件事的重點。那個答案之所以落在線的安全側，只有一個理由：它錯了，代價只是再卡一週的平台期。 錯得起、修得快、資料是我自己的。所以 agent 可以握筆。

現在想像同一個模型、同樣的自信，被用在線的另一側——搬錢、寄信給客戶、把頁面發布出去。模型本身完全沒變，變的只有可逆性。這就是全部的論證。

真正買到「誠實」的那件事

這裡有個反直覺的地方，而我認為那才是真正的洞見：

agent 只有在拿到全部的時候才會誠實。你篩過的飼料，只會換來被篩過的諂媚。

當我把我的解讀端給它看——降的那一天、好消息——我是在邀請它附和。當我把原始資料整個交給它，包含那些打我臉的日子，它才具備反駁我的材料。誠實是「曝露程度」的結果，不是模型的屬性。 你沒辦法用 prompt，把一個從沒拿到資料去支撐的坦率，硬逼出來。

而這會顛覆一般人的直覺。該怕的不是一個看得很廣的 agent，而是你看得很窄、窄到被你調教成附和、然後你因為它附和你就照著行動的那一個。範圍控制的存在，是為了讓行動變安全——不是為了讓 agent 保持無知。

對一人公司來說，實際長什麼樣

三種實務形狀，而沒有一種需要花錢：

1. 用憑證來圍，不要用 prompt 來圍。 「不要碰正式環境」是一句建議。把那組正式環境的憑證拿掉，才是一道圍籬。如果一個動作是 G3，解法不是把 system prompt 寫得更好——而是那個工具根本不在它的工具箱裡。

2. 讓 agent 提案，把最後一步留給你自己。 對 G2，agent 可以做完全部的思考，卻不碰最後那一下。讓它把動作組好、告訴你按下去會發生什麼、以及它是怎麼走到這裡的，然後把扣板機的動作留給你。這很便宜，而且能整類消除「它做了我沒授權的事」。

3. 安全網是那道圍籬，不是那個彈窗。 這一條最讓人意外。一個確認對話框不會讓你變成一個好的抓錯者——研究講得很直白。閘門能擋掉一些壞動作，卻幾乎沒有提升你抓出錯誤的能力。當代價高到你在彈窗出現的那半秒內、根本不可能真的看出那個錯誤時，覆核就只是一場戲。要防範，永遠勝過事後覆核。

重新框架

不要再問「這個 agent 夠不夠好、值不值得信任」。這個問題只有一個答案，而且每一季就過期一次。

改問：如果這件事錯了，我要付多少代價？我拿得回來嗎？ 這個問題對每一個任務都有答案，而且那個答案不在乎你跑的是哪個模型。

這條分類規則還悄悄做了另一件事：它告訴你該在哪裡停止監督。所有 G0 和 G1 的事，本來就該在你不在場的情況下自己跑完——而你在這些等級上花的每一小時盯場，都是沒花在「只有你能做」的那些事上的一小時。那道圍籬不是要讓你變慢。它是為了讓線以上的事能動起來，而你不必一直守在旁邊。

資料來源

  • 哪些動作可逆，以及它對權限的意涵。——《Intelligent AI Delegation》（Tomašev、Franklin & Osindero，Google DeepMind），明確把可逆性列為決定「能下放多少權限」的軸線，並區分不可逆的真實世界副作用（執行交易、刪除資料庫、寄出對外郵件）與可逆的動作（起草郵件、標記一筆紀錄）。
  • 實務評分法（影響範圍 × 可逆性 × 代價 → 等級 → 控制方式）是廣為流傳的實務模式；例如 LoopRails 的人機協作 playbook，它同時點出本篇最倚重的一點：確認彈窗不會讓人成為好的抓錯者，因此當錯誤在時間上來不及被抓到時，防範勝過覆核。
  • 企業級 agentic 風險指引。——微軟《Reduce autonomous agentic AI risk》：套用最小權限與最小動作，用確定性的控制去擋下禁止的動作（不論模型輸出什麼），並對高風險或不可逆的動作要求人工核准。
  • 關於「以 prompt 作為核准機制」為何會失效。——代理委派的研究發現：使用者是按任務、而非按 agent 來校準信任，對顧問型工作給予高度自主，卻對不可逆、對外可見的動作要求確認；並把那種失敗命名為 delegation regret——後悔的不是 agent 犯了錯，而是它做了使用者根本不會授權的事。
  • 本篇所處的驗證層。——見本站《「完成」是一種宣稱，不是事實》談產出驗證的儀式；本篇談的是權限的範圍，那是一個獨立的控制，無論 agent 對你說不說真話都成立。