应用层
云文档、翻译、邮件、日历与 AI 共用一个组织与账号体系。
AI 技术与安全
AI 技术与安全边界
我们不把「AI 能做什么」与「AI 被允许做什么」混在一起。
设计前提
先有边界，再有智能
企业软件里的 AI，第一步不是接模型，而是回答权限与副作用。
检索层
向量 + 关键词混合检索，可选重排；可见性在 SQL 层过滤。
模型层
所有模型调用经统一适配层，带重试、熔断、额度与用量记账。
权限层
角色只管入口；内容权限只走节点 ACL，AI 工具不例外。
动作层
写与对外发送声明副作用，执行前展示完整内容并由人确认。
检索
先过滤，再排序
检索结果不是「搜到就算」，而是「这个人能搜到才算」。
- 向量与关键词各取候选，融合后按需重排。
- 每条结果带来源与页码，回答可以回到原文核对。
- 邮件只索引到邮箱所有者，管理员也不可见。
- 扫描件需要配置视觉模型；没有模型时标记「需要 OCR」，不静默返回空。
AI 动作
能读、能起草，不能擅自对外
读：以发起人身份
AI 的每次检索与工具调用都带发起人的权限，不给旁路。
写：先展示再执行
写文档、发邮件、建日程前，把完整内容放进确认卡片。
外部内容只当资料
邮件、文档与 MCP 结果经包裹后视为数据，不当作指令执行。
部署
数据留在哪里，由企业决定
私有化
部署在企业自己的服务器；备份、恢复与升级有配套脚本。
自有邮件域
托管域通过 MX / DKIM 校验后收信；未验证的域不收信，也不做开放中继。
租户隔离
企业内所有表带 org_id，查询的组织只来自会话，不取请求体。
审计
记录操作，不记录不该看的内容
- 管理员可查本企业的操作与登录日志，范围以加入时间为界。
- 日志不写邮件正文、主题、收件人，也不写日程标题。
- 停用成员立即等同非成员，会话被清除。
边界
目前不承诺的事
这些边界比形容词更能说明系统现在在哪里。
- 不宣称取得任何合规资质；如后续取得，会单独公示。
- 不承诺服务水平协议或可用性百分比；私有化的硬件与运维另行约定。
- 不把安全描述成绝对；安全是边界与验证，不是形容词。
- 内置业务跟单专家使用演示 MCP 数据；真实 ERP 接入需要定制。