让每一次访问和变更，都与具体任务相匹配。
先界定哪些资料可以进入工具
在团队使用前，区分公开资料、内部资料、客户信息和敏感数据。不是所有项目文件都适合提交给外部模型，也不是所有日志都适合在支持沟通中分享。
建立允许使用的资料清单和脱敏要求，特别关注密码、API Key、个人信息、合同及生产数据。工具选型与具体供应商的数据处理规则应一并评估。
按任务授予最小权限
阅读仓库、编辑测试环境和操作生产服务应分开授权。只提供完成当前任务所需的目录、账号及接口范围，避免长期共享高权限凭据。
密钥应存放在受控的环境变量或密钥系统中，不写入前端、文章正文或代码仓库。人员离开、权限变化或怀疑泄露时，应及时停用与轮换。
生成代码必须经过工程检查
审查不仅看功能是否运行，还要检查输入校验、访问控制、依赖来源、错误信息和敏感日志。对涉及认证、支付或客户数据的变更安排重点复核。
使用自动化测试与人工审阅互相补充。没有发现问题并不等于不存在风险，应保留已知限制和后续检查项。
为上线和回退保留证据
将变更记录、配置版本、测试结果和发布审批关联起来。上线前确认备份可用、恢复步骤清楚，以及谁有权执行回退。
日志只保留定位问题所需的信息，避免无差别收集请求正文。具体日志保存期限、访问范围和审计要求，需要按实际部署制度制定。
安全说明不能替代正式承诺
本页是团队采用 AI 工具的实践指南，不构成已取得安全认证、已完成渗透测试或满足所有行业合规要求的声明。
若项目需要特定部署方式、数据处理协议、服务等级或审计材料，应在合作前逐项确认，并以经核实的正式材料为依据。