智能体权限最小化原则

智能体一旦能够读取文件、调用接口、使用长期记忆并继续规划任务，权限就不再只是“能不能访问系统”的问题，而是决定一次误判会不会变成真实业务事故。最小化原则的核心也很简单：智能体只获得完成当前任务所必需的权限，任务结束后不应继续保留不必要的访问能力。

权限不能只按账号划分

同一个智能体在不同任务中，所需权限并不相同。整理资料可能只需要读取指定文件，生成报告或许还需要写入某个目录，但这并不意味着它可以修改原始数据，更不意味着它能够向外部服务发送内容。读取、修改、发送、删除等动作应当分开管理，不能因为接入了一个业务系统，就默认拥有广泛的读写能力。

尤其要区分“模型需要理解的数据”和“模型可以长期保存的数据”。个人信息、商业秘密或重要业务数据进入上下文，并不等于应该被写入长期记忆。权限设计如果只看接口而不看数据流向，就容易出现表面授权合理、实际传播失控的情况。

把高风险动作留在人手里

智能体最危险的地方，往往不是回答错了一句话，而是错误结果被继续用于调用工具。外部信息、检索内容、记忆片段，甚至经过修改的图像，都可能影响它的判断。如果模型根据单一输入直接触发不可逆操作，风险就会沿着“感知—决策—执行”链路被放大。

因此，涉及敏感数据、对外发送或不可逆变更时，应设置人工确认、二次校验和异常中止机制。人工确认不是对智能体能力的不信任，而是为高影响动作增加一道责任边界。

最小权限还需要可追溯

权限收得再紧，如果出了问题却无法还原过程，治理仍然是不完整的。企业需要记录任务使用了哪些数据、调用了哪些工具、产生了什么结果，以及哪些步骤经过人工确认。与此同时，还应持续检查上下文拼接、记忆写入、插件和接口是否发生变化。

最小权限并不是把智能体变成只能聊天的工具，而是把它的自主能力拆成可授权、可观察、可复核的动作。真正值得讨论的不是“要不要给智能体权限”，而是：这项权限是否必要，风险是否可逆，以及谁能在它做错之前按下停止键。