## 为什么权限治理是必答题

给 Agent 接上真实业务系统的那一刻，它就从"聊天机器人"变成了"有操作能力"的数字员工。能力越大，权限治理越不能含糊。企业级实践通常围绕三件套：最小权限、审批流、操作审计，缺一不可。

## 一、最小权限：按"能力 × 资源 × 范围"三维授权

- **能力维**：读、写、删除、执行是不同等级的权限，只给任务必需的最低一级。能只读就别给写，能写就别给删；
- **资源维**：能访问哪些系统、哪些数据表、哪些文件目录，逐项白名单，而不是"内网全通"；
- **范围维**：金额上限、影响用户数上限、操作频率上限，用配额封顶，把"失控"的损失关进笼子。

原则是默认拒绝、显式允许。Agent 需要新权限时走申请审批，而不是默认全开、等出事再补救。

## 二、审批流：高风险动作必须有人点头

把操作按风险分级：查询类自动放行；修改类需要单人审批；删除、资金、外发类需要双人复核或更高级别审批。审批节点设计要点：

- 审批人看到的是"结构化操作摘要"（要做什么、影响什么、能不能回滚），而不是一堆原始日志；
- 设置审批时效，超时按预设策略处理（拒绝或升级），不能无限挂起卡住业务；
- 紧急通道可以有，但事后必须补审计说明，紧急不能成为绕过审批的常规手段；
- 审批记录本身也要留存，和操作记录关联，方便事后追溯"谁批准的"。

## 三、操作审计：每一笔操作都可追溯

审计不是"记个日志"就行，要做到：记录谁（哪个 Agent、哪次任务）、何时、做了什么、参数是什么、结果如何；日志写入不可篡改的存储，与业务数据分离保存；定期抽查结合异常告警，出事时能完整还原操作链。审计的另一个作用是优化：定期复盘高频被拒的操作，看看是权限配得不合理，还是 Agent 的行为模式需要调。

## 四、它和沙箱隔离的区别

这是最容易混淆的一组概念：

- **沙箱隔离**解决的是"能不能碰到"：把 Agent 关在隔离环境里，限制它能访问的网络、文件系统和系统调用；
- **权限治理**解决的是"碰到之后能做什么"：即使在生产环境里，Agent 的每个动作也要经过授权、审批与记录。

两者是互补关系：沙箱防的是越界，权限治理防的是"合法身份做不合法的事"。只做沙箱不做权限治理，等于给保险箱配了把万能钥匙；只做权限治理不做沙箱，等于把大门敞开只查身份证。成熟的做法是两层都要。

## 验收标准

权限治理做得好不好，有个简单的检验：出事时，你能不能在一分钟内回答三个问题——它做了什么、谁批准的、能不能撤销。答不上来，说明治理还停在纸面上。