Agent 写完了、Demo 跑通了，离上线还差一步——安全自检。和传统应用不同，Agent 的攻击面是「一张网」（输入、工具、记忆、权限、输出都可能是入口），漏掉任何一层都可能出事。这篇给一份可直接照着打勾的上线前清单，按 5 层组织，每层附检查项和判断标准。声明：清单为通用安全工程实践，适用于自建 Agent 团队自检；文中配置片段均为示意占位，具体参数以你所用框架的官方文档为准。

接入本身不难——就是「发文本、收四色、拦红橙」三步。难的是把它接在正确的位置（高风险输出节点）并配上降级与成本策略。想跑通流程，可以先拿网页版（粘贴文本即可，零代码）验证检出效果，再上 API 自动化，官网 aihcc.cloud 上都有入口。