一个网关。没有例外。
模块需要调用模型时，请求一律先发往同一个网关，再由网关转给管理员为该模块指定的服务商。
目前承接文本提示词的服务商共有八家：Anthropic、OpenAI、DeepSeek、通义千问、xAI、智谱、Kimi 和 Mistral。图中仅展示其中几家；请对照贵司的合格供应商名录核对完整名单，名单一有变动，更新日志即有记录。图片和视频提示词还会发送至 Google、Black Forest Labs、字节跳动、Meta、可灵和 MiniMax。
点击模块，发出一次调用
先在右侧选择服务商，再点击模块。
没有任何代码路径直连服务商。密钥只有一把，保存在服务器上，从不下发到浏览器。
选择权在您
每项功能能用哪些模型，由您决定。
管理员按功能逐项设定可选模型与默认模型，再由使用者从中挑选。我们停止支持的模型，会自动回退到默认模型。
不用于训练
您的提示词不会用于训练任何模型。
调用依照各服务商的 API 条款发出，这些条款排除了以 API 流量训练模型。我们留存的是账本里的一行记录，而不是对话原文。
隔离，写在代码里。
我们没有写一条提示词去叮嘱模型守规矩。过滤器先于任何查询运行。
贵公司是一个组织，旗下有若干品牌。在右侧选择一个品牌，看看它的每一次查询都带着哪些限定。
品牌 A 的上下文与文档品牌
品牌 A 的草稿与发现品牌
品牌 B 的上下文与文档品牌
品牌 B 的草稿与发现品牌
成员、设置、账本、钱包组织
品牌 C 的上下文与文档品牌
品牌 C 的草稿与发现品牌
成员、设置、账本、钱包组织
每次查询都携带
两者之间没有任何连线，细线也没有。
隔离墙能挡住什么
品牌之间互不可读：过滤在模型看到结果之前就已完成。组织之间同样互不可见；数据库只能从我们的服务器访问，所用密钥从不离开服务器。组织一旦暂停，所有登录都会被拒绝，不存在“半暂停”状态。
五种角色。一道关卡。
每位用户都有一个角色。角色界定的是能做什么，而不是价格档位。管理员可以在角色基础上为个人上调或下调权限，但永远不能超出组织已开启的范围。负责某个品牌市场营销的用户，看不到另一品牌销售方面的任何内容。详见架构与大型团队页面。
角色之下，还有一道统一的关卡：它在服务器端按下列顺序做四项检查，任何一项不通过，请求即被拒绝。
查看者以本人凭据、在本人预算内查阅，不能做任何修改。适合董事会成员或客户。
编辑者在获授权的品牌内起草和执行工作，不能发布，也不能修改设置。
品牌经理负责一个或多个品牌：审批、发布，并设定名下品牌的上下文。
管理员负责整个组织：成员、品牌、模型选择、预算与钱包，可查看全组织的账本。
超级管理员跨组织运营平台的 BearingBridge 员工。原始模型成本与界面词典只在这一级别可见。
会话有效，在任何操作执行之前已于服务器端验证会话
组织已开启该模块模块
用户已获授权；查看者的任何写入操作一律拒绝授权
请求中的品牌属于该用户品牌
解析权限时若连不上数据库，结果就是拒绝。出了故障，它也绝不放行。
如果您是冲着助手来的，下一节就是。
助手只读。要写入，须经您允许。
Ask Intelligence 只通过一组固定的只读工具作答，范围限于您为本次对话选定的品牌。开启搜索后，才会引入网络内容。它唯一能写入的，是您自己草稿箱里的一封邮件（前提是您已连接 Gmail），而发送功能在您开启之前一直关闭。
循环有明确边界：步数固定，每个工具能返回的内容量也固定。知识库里没有答案时，助手会如实说明，不会编造。
步骤：上限八步
每个工具可返回的内容量
一只箱子，您贴过标签的那只。
人工精选，不靠抓取
助手读取的是您的数据，以您选定的品牌为界；只有在您要求时，才会接入网络。指南可以左右答案的语调，却左右不了答案的出处。
每次运行，皆有记录。
每次模型调用都先写入账本，再从您的钱包扣费：谁提的问题、在哪个品牌下、哪个模型作答、token 用量、成本和时间。管理员看得到完整账本，用户只看得到自己的记录。
调用发出之前，系统会先核查三项上限：预付余额、用户每日上限、组织月度上限。完整说明见成本与管控。
预付余额$126.40 / $250.00
即钱包。以美元充值，永不过期。
用户每日上限$1.62 / $2.00
由管理员逐人设定。
组织月度上限$318.90 / $600.00
全公司统一设定一次。
| 操作人 | 组织 | 品牌 | 操作 | 模型 | 输入 token | 输出 token | 成本 | 适用时机 |
|---|---|---|---|---|---|---|---|---|
| L. Bernard | 您的组织 | 品牌 A | 市场营销 · 草稿 | Anthropic | 1,204 | 412 | $0.0098 | 09:12:04 |
| S. Ito | 您的组织 | 品牌 A | 销售 · 简报 | OpenAI | 2,310 | 655 | $0.0167 | 09:14:51 |
| R. Haddad | 您的组织 | 品牌 B | 客户服务 · 回答 | Mistral | 640 | 188 | $0.0047 | 09:15:20 |
| M. Okafor | 您的组织 | 品牌 B | 商业智能 · 摘要 | DeepSeek | 3,980 | 902 | $0.0255 | 09:19:37 |
点击运行一次调用，新增一行记录。
一本财务主管一看就懂的账。
智能体运行同样有据可查
每次智能体运行都连同状态、结果和任何错误一并保存；每条发现都注明出自哪个智能体。
登录、资金、文件，以及面向公众的助手。
登录
邮件验证码 · http-only Cookie · 一次性重置链接
组织可以要求登录时增加第二步：通过邮件发送六位数验证码，十分钟内有效，新建组织默认开启。浏览器可设为受信任，有效期 30 天，信任可随时在“设置”中撤销。登录 Cookie 设为 HTTP-only、same-site 和 secure，一天后失效。修改密码或邮箱前，须先输入当前密码。重置链接仅能使用一次，并设有频率限制，系统响应从不透露某个邮箱地址是否存在。
资金
Stripe · 签名 webhook · 仅记录一次
支付由 Stripe 处理。余额只会因经我们验签的 webhook 而增加，每个事件仅记录一次，所以重试也不会让同一笔钱入账两次。
文件
校验类型与大小 · 签名链接
上传的文件会校验类型和大小。徽标与头像公开，其余文件一律私有，通过短时有效的签名链接访问。
服务台
仅用精选内容 · 访客哈希 · 每日上限
每个服务台只依据您精选的内容作答，答不了时会明确告知。访客以 IP 地址的加盐哈希识别；每个服务台设有每日成本上限，在费用成为问题之前即自动停用。
登录与重置邮件均由 bearingbridge.com 发出。不是您触发的邮件，我们一封也不会发给您的用户。
已建成的部分到此为止，以下内容尚未建成。
尚未完成的事项。
评估人员只要自己发现其中任何一项，就不会再相信本页其他任何内容。
以下用合同措辞逐条列明。任何一项有变，本看板当天更新，更新日志同步记录。安全问卷请通过联系页面发送，会有专人逐条答复。
最近一次对照代码核实：2026 年 9 月 19 日
目前尚无 SOC 2 或 ISO 27001 认证。客户需要审计报告时，我们即启动审计，届时这一行随之更新。
数据存放在单一区域，暂不提供区域选择。如有需要，我们会在合同中写明具体区域。
第二步验证采用邮件验证码，目前不支持身份验证器 App，也不支持短信。
暂不支持 SAML，也不支持企业身份提供商。如果贵司政策有此要求，请在采购前提出，不要等到事后。
账本记录的是模型做了什么。谁从产品中导出了哪些数据，目前还没有相应的记录功能，我们的目录也如实注明。