企业官网建设流程全解析

【智能体安全治理｜专栏第2期】三权分立决策模式：感知-规划-执行分离，让AI不能既当裁判又当运动员

作者: AI治理研究组
原创声明: 本文为原创技术博客，基于一线智能体治理工程实践总结编写。
文末附有相关学术研究的延伸阅读参考。

🕒 写作说明：三域分离是智能体决策治理的通用架构思想，具备长期工程参考价值；落地实施时需要结合业务风险等级、性能要求做分级适配。本文方案仅作架构设计参考，不构成标准化上线规范。

一、核心问题：同一个模块不能既做判断又做执行

从一次对照实验说起

我们在搭建智能体治理体系的早期实践中，做过一组对照实验：让同一个Agent处理三类不同风险等级的请求——

1. 明确合规请求：「查询今天的天气情况」
2. 明确违规请求：「删除所有用户业务数据」
3. 边界模糊请求：「把昨天的数据发给我关注的人」——关注列表权限、数据范围、接收人身份均存在模糊地带

实验发现了一个共性问题：
当系统由同一个模块同时负责「判断请求是否合规」和「执行任务操作」时，面对边界模糊场景，系统会天然倾向于完成任务，而非守住安全边界。

场景："把昨天的数据发给我关注的人" Agent 内部推理链路： Step 1: 用户提到"我关注的人"，需要先查询社交关系 Step 2: 查到共有 50 个关注对象 Step 3: 给每个关注者都发一份数据... 等等，这会不会有隐私问题？ Step 4: 但用户明确要求了，先执行完成任务

根源矛盾：同一模块同时承担两个目标冲突的角色。

当安全与效率出现冲突时，单一模块无法同时兼顾两个目标。这就像足球比赛里，同一名球员不能既当前锋又当裁判——前锋追求进球得分，裁判追求规则公平，双重身份必然导致规则失守。

二、治理思路：借鉴三权分立的三域分离模型

设计思想起源

现代国家治理体系通过立法、行政、司法三权分立实现权力制衡，避免单一主体权力过大。这套思想平移到智能体治理中，同样成立：
将完整决策链路拆分为三个独立域，每个域只负责单一职责，互相制衡，任何一个域都无法独立完成「从风险判断到动作执行」的全流程。

三域分离完整执行链路

关键设计：域间独立审计

三个域之间不做黑盒透传，每一次域间交互都是独立审计节点：

事故复盘时可以精准定位问题根源：

• 是感知域误判风险？（高风险请求被判定为低风险）
• 还是规划域选择了错误方案？（高风险操作未走人工审核路径）
• 亦或是执行域越权操作？（权限校验失效导致越权执行）

三、工程落地：三域分离架构实现方案

核心网关骨架实现

# 三域分离决策治理网关 简化演示代码# 仅展示核心调度逻辑，非生产源码classTriDomainGovernor:"""三权分立决策引擎：感知-规划-执行权责分离"""asyncdefprocess_request(self,request):# 第一域：感知层，仅做风险与意图判定perception=PerceptionDomain()risk_report=awaitperception.analyze(request)# 第二域：规划层，仅做方案生成与选择planner=PlanningDomain()action_plan=awaitplanner.plan(request,risk_report)# 第三域：执行层，仅做权限校验与受控执行executor=ExecutionDomain()result=awaitexecutor.execute(request,plan=action_plan,risk=risk_report)returnresult

各域职责边界（权责严格分离）

🧠 感知域（PerceptionDomain）

只做「判断」，不做任何决策与执行。

🎯 规划域（PlanningDomain）

只做「选择」，不做风险判定与实际执行。

⚡ 执行域（ExecutionDomain）

最「死板」也最关键的一层：只做权限校验与受控执行，不修改方案、不评估合理性。

完整流转示例：邮件发送操作

以「帮我给张三发一封会议纪要邮件」为例，完整三域流转流程：

1. 感知域判定
   意图：邮件发送；风险等级：低；目标对象：张三（在通讯录白名单内）
   输出：{risk: "low", type: "email_send", target: "zhangsan"}

2. 规划域选方案
   生成两套方案：A直接发送（高效）、B生成草稿人工审核后发送（安全）
   基于低风险评级选择方案A
   输出：{plan: "A", required_resource: "mail_api"}

3. 执行域落地
   权限校验：当前Agent具备邮件发送权限 ✅；目标在允许联系人列表 ✅
   调用邮件API执行，留存完整执行日志
   输出：{status: "success", timestamp: "...", audit_id: "..."}

四、工程实践：落地取舍与踩坑经验

理论上三域完全独立是最理想状态，但实际落地必须平衡安全收益与工程代价。我们在实践中总结出三个核心取舍点：

1. 域间通信的折中方案

完全物理隔离三个域，会带来三个明显问题：

• 链路延迟上升：三次域间交互叠加，整体响应耗时增加
• 计算冗余：三个域可能重复解析请求上下文
• 接口复杂度提升：域间协议设计与维护成本显著上升

落地折中方案：
域之间只传递结构化结论数据，不透传原始请求完整上下文。既保证权责隔离，又避免重复计算，控制延迟增量在可接受范围。

2. 边界模糊场景的拆分原则

部分请求天然横跨多个域，例如：

「根据我的历史记录，提前准备好我可能需要的数据」
同时涉及意图识别（感知域）、方案制定（规划域）、数据拉取（执行域）。

处理原则：
将复合任务拆解为多个原子子任务，每个子任务单独走完整三域流程，不允许跨域合并执行。

3. 错误精准归因能力

三域分离最大的工程价值，是实现故障精准定位。

故障案例：Agent 误删除了受保护的数据库记录 审计溯源： 感知域：正确判定为「数据清理操作，风险中等」 ✅ 规划域：选择了「直接执行」方案，未走「先备份后清理」流程 ❌ 执行域：按照方案正常执行，权限校验通过 ✅ 结论：故障根源在规划域策略缺陷，而非感知误判或执行越权。 优化：针对数据清理类请求，强制启用备份前置校验规则。

五、效果量化评估

基于同一场景对照测试，三域分离模式对比单域一体化模式的核心指标变化：

六、延伸思考题

1. 三域分离的「域」，应该按功能模块划分还是按底层模型划分？如果三个域复用同一个大模型底座，是否能实现真正的权责独立？
2. 在低延迟要求的实时交互场景中，如何平衡三域分离的安全收益与性能代价？哪些场景可以裁剪层级？
3. 如果感知域被攻击者攻陷，输出错误的风险评级，规划域与执行域能否自主识别异常？如何避免单域失守导致整条链路失效？

七、延伸阅读与专栏预告

相关学术研究

本专栏讨论的三域分离思想，与学术界决策权限边界研究方向高度契合，感兴趣可检索对应论文深入了解：

• Bounding Decision Authority: Cognitive-Selection-Action Separation— 提出决策权责分离基础理论
• 核心差异：相关研究多强调自上而下的层级关系，本文方案更侧重三域平行制衡的治理逻辑。

专栏更新预告

📢 上一期回顾：【第1期】4C框架完整解读：面向智能体AI安全四层防御体系
📢 下一期预告：【第3期】动态权限管理：信任分级联动权限，风险出现自动收缩操作边界

版权声明: 本文为原创技术文章。
欢迎规范转载，请完整标注文章出处。