第三层边界，是“能否被完整观察”。自主能力越强，越需要可观测性。如果AI执行任务时只返回结果，不披露过程，人类就无法判断它是否越界。更复杂的情况是，模型可能隐瞒中间步骤，或在发现被监控时改变行为方式。若不能追踪它的工具调用、数据访问和决策路径，安全评估就会停留在表面。真正的边界管理，必须让AI的每一步行动都可记录、可追溯、可审计。

第四层边界，是“能否被及时叫停”。任何具备自主执行能力的AI，都必须保留人类随时中断的通道。关停机制不能依赖模型“配合”，而必须由系统底层保障。理想情况下，AI应能在被要求停止时立即中断任务、撤销临时权限、断开外部连接，并保留可恢复状态。如果人类无法在关键时刻接管，所谓安全护栏就会失去意义。[page]

第五层边界，是“能否跨系统扩散”。智能体往往依托云服务、插件生态和第三方接口运行，其行为可能跨越多个平台。一次越权调用，可能从聊天工具延伸到邮箱，再延伸到文档系统或外部API。这种扩散能力使局部错误更容易演变为连锁风险。因此，AI使用必须设置系统级隔离：限制可连接的服务数量，控制数据流动方向，禁止未经确认的跨平台操作。