Agent 最危险的一刻，不是算错了，而是不声不响地把数据发了出去——发给谁、发了什么、发了多少，用户全程看不见。数据外发管控就是在 Agent 和“外面”之间设一道门：所有外发先分类、再审批、后留痕。管控不是不让 Agent 对外办事，是让每一次外发都有人能说得清“发了什么、为什么发”。
某团队的分析 Agent 把一份含用户手机号的报表直接发到了外部协作群——报表本身没问题，但手机号不该出现在群里。外发前如果先过分级和脱敏，这份报表根本发不出去，事后也不用挨个通知用户。
💡 记住：数据一旦发出就收不回来——外发的门要设在“发之前”，而不是“发之后道歉”。
你的 Agent 最近一次对外发数据，发了什么、发给了谁？如果答不上来，今天就给它加一条外发留痕。