一调就怕越权、误删、资损，没有闸门和审计——出了事谁都说不清。
改造 PHP / Java 老系统、绑死某个模型、数据被托管到别人那儿。
会话和记忆散在各家大模型里，换一个全重来，没法审计。
请求进 → 渠道接入 → 身份与策略 → 调度 → 执行 → 送达 → 结果出。扩展只加适配器，不改内核。
白名单 / 风险分级 / 限流 / 逐次审计 四道闸 + 请求签名（把"谁、为哪个任务"钉进签名）+ 高风险暂停并转人工裁决。
"Agent 够得到什么"由中枢管，"这个人此刻能不能做"永远由业务裁决。
让 Agent 安全调用业务接口，正是 OWASP 在 agentic 安全方向反复强调、却还没被通用大厂开箱内置的环节。
深入工具治理 →对话总账 append-only、是唯一真值；Agent 会话只是可重建缓存。换模型、换大脑都不丢记忆，全程可审计、抗厂商锁定。
换脑不丢记忆 —— 数据和调用，留在你自己的边界内。
业务与中枢只隔一条冻结的网络契约——不互相 import 代码、不跑在业务进程里。网页一行 script 嵌聊天、后端一个 curl / PHP 触发：这部分粘一段代码即可，老系统逻辑一行不动。
私有化的正确落点是控制面 / 数据面私有——状态与总账在你的库里；模型按需调云端或国产 API，敏感场景也可换自托管模型让数据不出境。
不强制。把控制面私有部署，模型按需调云端或国产开源 API（通义 / DeepSeek / 智谱 / Kimi 等）——私有化落在数据面，而不是逼你本地跑大模型；有不出境要求时再换自托管模型即可。
不改架构。业务与中枢只隔一条冻结的网络契约，不互相 import 代码、不跑在业务进程里。触发与聊天粘一段代码即可、触发方逻辑一行不动；让 Agent 调你的业务接口则需注册几个工具 + 接一道授权闸——是个小集成，但只在老系统旁边加一层，不动你原有逻辑。
在你自己的库里。对话总账落在你独立的状态库、是唯一真值；Agent 会话只是可重建缓存。状态和调用记录始终留在你自己的边界内。
它们是搭 AI 应用的平台；百灵是把 Agent 安全接进你既有业务系统的治理控制面。重点不在"搭个应用"，而在解耦接入、工具治理与状态主权。
兼容 OpenAI 协议的模型，以及通义千问、DeepSeek、智谱 GLM、Kimi 等国产模型。按场景 / 成本 / 可用性做规则化路由，支持一键切换与降级。
调业务接口要过四道闸（白名单 / 风险分级 / 限流 / 逐次审计）+ 请求签名，高风险暂停并转人工裁决。"Agent 够得到什么"由中枢管，"这个人能不能做"由业务裁决。