终端正在变成受管制的AI运行时

八年前，终端还是开发者最后的私人领地。

浏览器早被企业管控，IDE塞满了插件、遥测和采购流程，CI流水线本身就是个YAML小官僚。但终端不一样——那是开发者可以随心所欲的地方。自定义别名、半遗忘的shell脚本、curl | jq的仪式、情绪像服务器机房浣熊一样不稳定的SSH会话。

现在GitHub宣布为企业推出托管插件功能，支持GitHub Copilot CLI。但重点不是"Copilot能在终端做更多事"。

真正值得关注的是：终端正在成为AI的操作界面，而AI操作界面终将变成受管制的运行时。

这不是因为厂商邪恶，也不是平台团队控制狂。而是因为一旦助手能接触工具、仓库、云账户、密钥和部署路径，"让开发者随便用"就不再是个严肃选项。

终端一直很强大，但这种强大主要通过打字的人来缓冲。我执行了破坏性命令，是我的责任；我安装了可疑CLI，是我的责任；我用shell管道和直觉把五个工具粘在一起，至少爆炸半径以人类打字速度蔓延。

AI改变了这个结构。

CLI助手不只是另一个自动补全。它能理解意图、发现命令、调用工具、串联步骤、编辑文件、总结错误、提出修复方案，有时动作快过开发者审阅每个中间决策的速度。

这不算坏事，这让它变得可操作。

当助手能说"我将创建分支、更新配置、运行迁移、打开PR、修复CI"时，终端就不再只是个人工作区，而变成了委托工作的运行时。

委托工作需要规则。

企业托管插件听起来像无聊的管理功能，这正是它重要的原因。

插件系统回答的是实际问题：哪些工具被允许？哪些操作需要审批？哪些环境是禁区？审计日志在哪里？

这一幕我们见过：浏览器扩展、IDE扩展、Kubernetes准入控制器、CI市场动作、Terraform模块。起初生态有趣而混乱，然后出了几起事故，然后有人问为什么某个随机包能访问生产环境附近的凭证，然后公司开始治理。

AI版本会更快，因为助手不只是安装插件，而是代表人类使用它们。

这个区别很关键。

普通CLI插件等我犯错。AI启用的CLI插件能帮我在规模上犯错。

每个AI编程演示都想展示助手做有用的事，可以理解，演示需要动作。但在生产环境，有价值的问题乏味得多：这个助手能访问哪些凭证？它能代表我执行哪些操作？如何在不打断流程的情况下设置边界？

这才是真正的界面。

聊天窗口只是人类表达意图的方式，权限边界才是架构发生的地方。