从只读到外发的AI权限分级部署实践

我现在看企业接入 AI，最先问的已经不是“它能帮我们做多少事”，而是“它到底被允许做到哪一步”。因为只会读资料的 AI，和能替人把消息发到外部的 AI，中间隔着的不是一个按钮，而是一整套风险边界。

我更喜欢把权限拆成四层：只读、建议、受控修改、外发执行。只读层可以查资料、汇总状态、分析问题，适合先大范围铺开；建议层可以起草回复、生成方案，但结果仍由人决定；到了受控修改，AI 能改动内容或业务对象，不过要留下版本和操作轨迹；外发执行则是最高一层，意味着它会触发通知、提交工单或影响下游流程，默认就该进审批闸门。

这里最容易踩的坑，是把“审批”理解成最后点一下确认。真正有用的审批，应该放在不可逆动作之前，并让审批人看清三件事：它准备做什么、会影响谁、已经做过哪些步骤。否则人只是被迫当个“确认按钮”，既看不懂，也拦不住。

我也会坚持让权限继承发起人的边界。一个普通员工让 AI 帮忙处理任务，AI 不该因此获得更高的系统访问权；它能看的、能改的、能发的，都应当被限制在这个人的授权范围内。最小权限听起来老生常谈，但放到智能体身上，真的就是刹车。

外发能力尤其不能一上来就全自动。先让 AI 把内容放进草稿态，确认对象、范围和措辞后再发送；即使允许自动外发，也要预设暂停条件，比如关键信息缺失、工具异常、连续失败，或者任务明显偏离原目标。暂停时保存当前状态，恢复时从中断点继续，而不是让模型重新猜一遍。

把 AI 从只读逐步放到外发，不是保守，而是给团队留出学习和纠错的空间。权限越高，日志、版本、人工接管和补偿机制就越不能省。敢把 AI 放进真实流程，靠的从来不是它看起来多聪明，而是它出错时，我们能不能及时把它拉回来。