企业开始同时使用 Codex、Claude Code、OpenClaw 等 AI 工具后，很快会遇到一组新问题：Skill 是谁写的？API Key 在谁电脑里？每月花了多少 Token？哪个 AI 可以发送外部消息？员工离职后怎样一次撤销？

这些问题的根源，是企业把工具、Skill、模型账号、API Key、Token 用量和业务权限混在了一起。

先说结论

• 工具决定如何执行，Skill 决定按什么方法执行。
• API Key 是访问凭证，Token 是模型用量计量单位，两者不是同一种商品。
• 生产模型账号、API Key、费用预算和停用权应由客户掌握。
• Skill 需要来源、版本、权限、测试和回滚，不能只把它当成一段提示词。
• Mayaai Top 负责把工具、Skill、模型和设备组成具体执行方案，并管理任务、确认和产出。

先把六个对象分开

为什么不能把 Token 和 API Key 混成“买 Token”

Token 是模型处理输入和输出的计量单位，API Key 是调用模型服务的秘密凭证。企业真正需要开通的是自己名下的模型账号、计费和 API 权限，然后由授权管理员生成和保管 API Key。

FDE 可以协助选择模型、注册、充值、设置预算和将 API Key 安全注入执行环境，但不应使用 FDE 个人账号长期承载客户的生产用量。

Skill 怎样管理

Skill 有三种合理来源：FDE 按客户 SOP 定制、客户自己开发、从第三方导入。无论来源如何，企业都应知道它需要哪些文件、网络、工具和密钥，会不会发送外部消息、修改生产数据或发布代码。

每次 Skill 更新应先在测试任务中验证，记录版本、权限变化、测试结果和回滚版本，通过后再替换生产配置。

企业可以怎样建立治理方案

1. 列出工具、设备、Skill、模型账号、API Key、数据和 Mayaai Top 工作区。
2. 为每个对象指定业务负责人、技术维护人、密钥管理人和成本批准人。
3. 用客户自持账号开通模型 API，配置预算、用量和超限处理。
4. 将 API Key 放入 Secret Vault 或等价密钥管理层，不写入 Skill、文档、聊天记录和代码仓库。
5. 为 Skill 建立测试、变更和回滚流程。
6. 用 Mayaai Top 指定任务应使用的执行助手、执行方案和运行设备，高风险动作进入人工确认。
7. 演练 API Key 轮换、Skill 停用、设备下线和人员离场。

参考与边界

本文参考 Mayaai Top 功能说明与工作台使用教程，并区分 6 类治理对象。Secret Vault 或等价密钥管理层只能降低凭证暴露风险，不能替代企业自己的账号归属、预算审批、人员离场和合规流程。

完整来源与更新记录见站内原文。企业现在能否为每个工具、Skill、凭证和费用找到明确责任人？