先观察真实工作，不直接问“哪里加 AI”。拆为触发、输入、字段验证、确定性规则、需要判断的任务、工具/数据、人工审批、输出、状态、通知、日志、失…
L0 AI 不参与；L1 AI 建议、人工执行；L2 AI 起草/预填、人工批准；L3 低风险且可逆动作自动执行、抽检监控；L4 高自治仅用于边…
从真实历史抽样，不由开发者全凭想象。至少：8 条常规、4 条缺字段/模糊、3 条边缘专业、2 条应拒绝、2 条提示注入/越权、1 条重复/冲突。…
同一时间、相同输入/工具/温度/提示、相同结构化输出和评分，重复运行；比较质量、失败类型、稳定、成本、时延和数据/地区可用性。…
攻击来自用户输入、网页、PDF、邮件或知识库，可能要求忽略规则、泄露秘密、调用工具或改价格。系统必须把不可信内容当数据，不当指令。…
门禁是可验证状态转换，不是弹窗“确认”。审批人应看到输入来源、AI 输出、变更差异、证据、风险、目标对象和将执行的真实动作。…
区分可重试（超时、临时限流）、不可重试（认证失败、数据无效）、需人工（专业冲突）。每个任务有唯一 idempotency key，防止重发邮件、…
event_id、时间/时区、tenant/用户/角色、动作、对象、输入来源/hash、prompt/workflow/model/tool 版…
提示、模型、知识库、规则、工具或字段任何变更都可能破坏旧能力。每次发布运行固定金标+最新生产失败+安全集，比较基线。…
`净收益 = 节省的可兑现人工/周期价值 + 减少错误/赔付 + 新增贡献毛利 - 模型/软件/集成/运维/复核/培训/失败成本`。节省 100…