让 agent 直接操作小鸡的佬多吗，权限你们怎么收的

最近用 agent 帮忙维护几台小鸡，装环境、改配置、查日志都挺省事，但越用越虚。

现在我的做法是：

• 单独开一个低权限用户给 agent 用，sudo 只放行固定几条命令
• 删除、重装这类操作必须人工确认
• 所有执行的命令落日志，出事能回溯

想问问佬们平时怎么处理的，有没有更省心又安全的方案？还是说干脆只让它出命令、自己手动敲？