让 AI 碰你的广告账户之前，先装好这三道闸

前几天，我和几个做投流的朋友吃饭。桌上聊得最多的，不是谁的账户又赚了，而是一个让我后背发凉的事：

AI 智能体，已经可以直接在你的广告账户里动手了。

最近 AI 圈的失控新闻，你大概也刷到过。智能体在生产系统里干出各种谁都没料到的事，事后大家一脸茫然。广告投放这个行当更刺激：账户里每小时都有真金白银流进流出。让 AI 上手，等于让它摸着你的钱包干活。

你敢吗？

饭桌上，几乎每个人聊到这里，开口都是同一句话："你信不信 AI？"

我说，这问题问错了。

问错在哪？"信不信"问完就没下文了。信，撒手不管；不信，干脆别用。它把一个工程问题，问成了一个态度问题。

真正该问的是：怎么才能让 AI 值得信？

这两问看着像，差着十万八千里。一个是玄学，一个是工程。

换个问法，答案自己就出来了

什么叫"让它值得信"？

你想想看，公司新签一家代理公司，你不会抽象地问"我信不信他们"。你会问三个很具体的问题：他们能看哪些数据？哪些操作允许先斩后奏？每次改动，谁审、谁签字？

三个问题，三套答案。你绝不会用一句"我信他们"把这三件事糊弄过去。

好，同样三问，拿来问你的 AI 智能体：

第一，它能看见什么？ 一个只连了薄薄一层数据的智能体，给你的答案会非常自信、非常流利。但它只看过你账户的三分之一。更麻烦的是，它不知道自己在猜，所以绝不会主动告诉你"这段是猜的"。

第二，它被允许做什么？ 注意，问的不是你嘱咐过它什么。是哪怕它听到别的指令、聊着聊着自己跑偏，结构上也拦死它做不了的那些事。

第三，谁来签字？ 不是"事后我们翻翻变更记录"。是事前，必须有一个活人说过"行"。

这三个问题，对应的就是三道闸。我一层层讲。

第一道闸：让它看得全

什么叫让智能体干蠢事？很简单，让它睁眼瞎。

你问它：上个月 CPA 为什么涨了？

它秒回。答得流利，语气笃定，条理清晰。

但它依据的，只是它摸得到的那一小片数据。它看不见的部分，可能恰恰就是全部答案。而它瞎编时的语气，和它真知道时的语气，一模一样。

没有哪个提示音会告诉你：它在猜。

所以我特别想强调一句：让智能体连着一个足够完整的数据层，行话叫 grounding，这个东西不是便利功能，是安全功能。

AI 最危险的，不是它不会回答，而是它不知道自己不知道。

那一个合格的数据层，长什么样？我研究了下 Optmyzr 做的 MCP（你可以把它理解成智能体连进广告账户的那根数据管道），他们给的这份清单，我觉得可以直接抄：

• 完整的查询层。Google Ads 的资源、字段、指标，API 暴露什么就给什么，真实的 GAQL 查询，而不是产品经理挑出来的"精选摘要"。数据一旦被精选过，你能问的问题就被限死了，而且没人告诉你限死了哪些。
• GA4 和广告数据放在一起。"点击之后发生了什么"是同一个问题，不该跨两个工具手工拼表。很多诊断问题的答案，就横在广告数据和网站数据的边界上。边界还在，智能体就对着边界猜。
• 完整的变更历史，一个操作者都不漏。界面改的、脚本跑的、第三方工具动的，全记。这样"3 月那次 ROAS 波动是谁干的"才是个有答案的问题，而不是一场靠回忆的群聊。
• 否定关键词四级合并。账户级、共享列表、广告系列、广告组，四处拼成一张总账，还能确定性地告诉你：某条搜索词是不是已经被拦了、被哪条拦的。智能体在否定词上翻车特别常见，因为真相散落在四个地方，没人替它拼好。
• Auction Insights 能下钻到单个竞对域名，看清你们共享的每条关键词上各自的打法。竞对问题最难核实，因为你手里没有第二份独立数据可以对答案。
• 行业基准。你的 CTR、CPC、转化率、展示份额，在同行里排到前百分之多少。而不是三年前某篇博客文章里的平均值，那个数字人人引用，没人知道出处。
• 跨平台。Google、Microsoft、Meta、Amazon、LinkedIn、TikTok。预算问题很少只属于一个平台，哪怕提问的人天天只泡在其中一个里。
• 每个账户一份档案：商业模式、利润结构、出价策略、账户结构、试过什么、结果怎样。智能体开口之前，先读它。

这套东西在 Optmyzr 那里已经全部就位，从 Claude 的目录里一键安装。不用开 API 控制台，不用申请开发者令牌，不用养一个随叫随到的工程师。

看得全，是第一道闸。第二道闸，管得住。

第二道闸：给它立规矩

怎么防止 AI 一夜之间把一个月的预算烧穿？

有两个答案，都不好使：一，对它客气点；二，在提示词里多写几遍"请务必谨慎"。

真正好使的，是一道独立于 AI 的策略层。

规则一次性写在账户上。单次出价上调，不许超过 10%；预算改动，不许越过某个数；这几个广告系列，谁都不许碰；竞品品牌词，不许加。你生意里那些"绝对不行"，一条条写下来。

关键就一条：规矩别写在提示词里，写在账户上。

为什么？写在提示词里的规矩，本质是"求它遵守"。一篇它被要求读的文档里藏一句注入指令，它可能就变了；一段长对话聊下来它自己慢慢漂移，也可能就变了。写在账户上的规矩，从哪条路进来都拦得住。

而且这条规矩，不看人下菜。

智能体提出涨 20% 的出价，拦。幻觉发作想乱改，拦。藏在文档里的恶意指令，拦。新同事把小数点敲错一位，拦。你，周五深夜十一点，在手机上急着拍板，一样拦。

同一个规则，同一个判决。不看好心眼，也不看资历。

真有紧急情况非过不可？可以，走显式越权，把你的名字留在记录里。一个你无感就能翻过去的护栏，不是护栏，是漆画的减速带。

这套打法有个名字，叫自动化分层，在投放圈存在很多年了。思路一直没变：一个系统干活，另一个系统验货。以前第一层是平台自己的智能出价和预算自动化，你用自己的脚本、自己的规则，去验证它的动作合不合你的生意。现在，第一层换成了 AI。第一层越有创造力、越难预测，第二层就越重要。

第三道闸：让它先汇报，再动手

人人都说"有人在把关"。

但你追问一句：在哪个界面？哪个人？哪个队列？多数人当场语塞，最后憋出一句"我们事后会查变更记录"。

事后查，约等于没人查。

我给你算笔账。三个月后，客户问你：3 月为什么把我的目标 CPA 改了？你翻什么？翻聊天记录？你和 AI 客客气气聊了两百轮，哪一句是决策依据，你找给我看。

工程界早就把这事做绝了：没有代码评审，谁也不能把代码推上生产环境，几十年的老规矩。我就一直想不明白，一个月烧六位数美元的广告账户，流程凭什么还不如改一行 CSS 严谨？这个问题，我们行业一直没敢正面回答。

Optmyzr 把这条路堵死了：从智能体到广告账户，不存在一条不经过活人的路。具体是五步：

1. 智能体只能提案。调出价、改预算、暂停广告系列、加否定词，每一个写操作都变成一张变更请求草稿，停在半路，哪儿也去不了。
2. 策略层先过堂。每一行改动对着账户规则过一遍，结论直接贴在这一行上：拦了，为什么拦，写在明面上，不埋在日志里。
3. 人来开单。每一行的理由、策略警告、时间线、有资格批准的人，一目了然。
4. 你看到的是将要上线的精确内容。比如"Brand 广告系列的目标 ROAS 从 200% 改成 220%"，一字一句，确定性的。不是智能体用自然语言给你复述一遍"我大概想干这个"。
5. 你点头，才真的动。

同事提改动，走这条管道，你是第二双眼睛。AI 提改动，也走这条管道，你是第一双眼睛。

一个意外的收获

这套变更请求队列，建的时候是为了安全。用起来才发现，它顺手解决了另一个老大难：账没法翻。

因为队列里存的不只是操作，是完整的意图记录。提案是什么，理由是什么，策略结论是什么，谁批的，什么时候批的，全在。

变更历史只告诉你"改了什么"，从来不告诉你"为什么改"。而这层"为什么"，恰恰是三个月后你最需要的那层。

对代理公司来说，这就不只是安全了，是信誉。客户随时来问，你随时拿得出完整卷宗。

最好的状态，是无聊

三道闸都装上，你会得到一种状态。我用一个听起来很怪的词形容它：无聊。

不是没用，是无聊。

你知道它看得见什么，知道它在结构上干不了什么，知道没有任何东西能绕过你上线。惊喜应该出现在洞察里，而不是出现在"我吃午饭那半小时它干了什么"。

这就是我给所有 AI 投放系统画的及格线，Optmyzr 的系统也一样，包括他们自己的：

• 它看得见整个账户。因为看不见的地方，就是它开始一本正经编故事的地方。
• 它被你写的规矩框住。规矩在账户上，不在提示词里，对谁都一样。
• 它动不了手。每一次写操作都是一张变更请求，有人审，有记录，有那一声"行"。

不用一步到位。哪个洞最疼，先堵哪个，跑顺了再堵下一个。之前试过 AI 投放、拿到过一个自信满满的错误答案、然后把工具默默吃灰的朋友，那是我最建议你回头再试一次的失败。

最后说句实在的。

安全的 AI 投放，从来不是挑对了模型就自动拥有的。它是一层层数据、一条条规矩、一个个签字装出来的。模型是别人的，闸是自己的。

祝你的 AI，永远无聊。

（Optmyzr 这套安全投放方案有 14 天免费试用，感兴趣可以去他们官网看看。）