多租户不是改个公司名

请求进 Agent 前绑定 tenant_id，检索过滤、缓存 key、工具出站和计费账户都带上它，禁止从用户输入推断租户。向量集合按租户物理或逻辑分区；metadata 过滤只能当补充。

沙箱先于 Multi-Agent

工具白名单、可访问域名、工作目录和网络出站要按租户授权。文件系统、shell、生产库默认拒绝。超时、内存和进程数要有上限，审计写入不可篡改的日志。原先「沙箱机制」「Agent沙箱方案」并入本文，避免三篇同时对外。

什么时候必须上

要把同一个 Agent 卖给多家企业，或内部多个事业部共用运行时。单租户内部工具可以先逻辑隔离；一旦有客户数据或合规审计，独立集合、独立密钥和出站策略是底线。