最小授权在AI系统中的含义与原则

让 AI 代理进入工单、客户资料或审批系统，真正难的往往不是“能不能调用”，而是“应该允许它调用到什么程度”。人登录系统后，操作通常随着页面关闭而停止；代理却可能在几秒内连续发现工具、读取结果，再触发下一步动作。一次登录、长期有效的授权，放到这种自动链路里，风险很容易被放大。

最小授权的核心，可以理解为“按任务借权”：只提供完成当前任务所需的最少数据、最少接口和最短有效期。查询订单状态、读取库存、汇总报表，适合从只读权限开始；退款、改价、创建账号、删除记录或发送对外通知，则应拆成独立的可写权限，不能因为代理属于同一个业务场景，就默认共享一套完整工具清单。

权限边界要落在系统之外

不能指望模型自己判断“这一步是不是越权”。授权判断应由代理之外的策略层完成，并且在每次真正调用时重新鉴权。隐藏工具入口只是辅助措施，不能替代调用层的限制。

身份归属同样关键。多个代理共用一个服务账号或长期密钥，出问题后只能知道“某个后台账号操作过”，却很难追溯到具体代理和任务。更稳妥的方式，是为代理建立独立、可核验、可治理的身份，让每次调用都能回答：谁在什么任务范围内，调用了哪个系统的什么动作，结果是成功还是被拒绝。

高风险动作不要默认闭环

最小授权不等于禁止自动化，而是把不可逆、影响资金或涉及合规的动作放到更高门槛。代理可以准备退款草案、预填参数、生成审批建议，但真正提交前，应由人确认，或由独立策略引擎按规则放行。确认必须发生在动作真正生效之前，并留下批准者、任务上下文和操作类型等记录，而不是只在聊天窗口里出现一句“是否继续”。

首批任务最好从失败代价较低的只读汇总、状态查询和内部草稿开始。涉及内部更新时，收窄可写字段并保留完整日志；大额资金变动、批量删除、权限授予和生产配置变更，则更适合让代理辅助准备，而不是自动完成。配套的凭证应能随任务结束失效，并支持轮换、吊销。这样做并非给代理制造障碍，而是让自动化始终处在可解释、可收回、可追责的范围内。