安全边界
当前安全叙事从角色分离开始。Gateway API key 在执行边界标识 Agent（AI 工作助手）请求。管理员凭据用于 Control Plane 管理，不应被当作 Agent 凭据。Provider 凭据服务于已配置的上游 Connection，也不同于前两类凭据。
在已验证的文本边界内，产品暴露可检查的资源、模型身份、路由配置和请求检查。这些是初步风险评审的有用证据，但它不是隐私扫描系统、完整审计报告系统或合规认证。
Stravia Console 当前不声称 SOC 2、ISO 27001、HIPAA、GDPR 认证、生产遥测、正式 SLA 或保证响应时间。组织级权限、政策执行、更深的追踪和报告属于 Roadmap Capability，不能被默认为当前控制。