分开权限层级
独立定义读取、建议、草拟、批准和执行；提升到更高层级需要明确证据和负责人。
生产 AI Agent 控制
企业 AI Agent 需要哪些权限和审计记录？
把 Agent 看成权限受限的行动者，而不是一个持有 API Key 的聊天机器人。每次工具动作都应该对应租户、用户或服务身份、允许操作、证据记录和安全恢复路径。
作者 Onyx Devs Lab · 发布 · 更新
权限层级读取、建议、草拟、批准、执行
最小权限身份、租户、对象和动作范围
动作证据意图、参数、结果和恢复
先设计权限模型，再连接工具
单一“Agent 访问”权限对于生产环境过于粗糙。
映射真实身份
解析请求人、租户、服务账号、来源会话和目标系统身份；不能只依赖共享模型凭证。
限制每项工具
只允许指定系统、对象、字段、动作、金额、时间和环境，其余默认拒绝。
让每项高影响动作可以重建
审计记录应该说明系统尝试了什么，以及实际发生了什么。
意图与证据
记录用户要求、适用政策、检索证据、模型与提示词版本、决定，以及需要时的人工确认。
执行结果
记录工具、已经验证的参数、目标身份、幂等键、时间、响应、最终状态和回读验证。
运营控制
提供撤销与停止路径、职责分离、异常队列、重试、补偿动作、告警、事故复核和保留规则。
怎样审计 Agent 动作路径
盘点工具与动作
列出 Agent 可以访问的每个系统，按照数据敏感度、可逆性、财务影响和用户后果分类操作。
映射身份与政策
把用户、租户、角色、服务账号、批准门槛和目标系统权限连接到可以执行的规则。
测试禁止与失败案例
尝试跨租户访问、缺少确认、重复执行、过期状态、部分失败、超时、撤销和恢复。
逐步释放权限
先从读取或建议开始，测量异常；只有证据与恢复控制通过约定关口的动作才提升权限。
常见问题
应用程序日志是否足够？
通常不够。一般日志可能缺少请求身份、政策决定、已经验证的参数、确认、最终状态和恢复证据。
Agent 可以共用一个服务账号吗？
只有在下游授权仍保留租户与用户政策、动作限制和归因时才可以；共享凭证不能抹去谁提出或批准动作。
哪些动作需要人工批准？
至少不可逆、对外、受监管、高价值或改变权限的动作应该明确确认，除非有文档的风险决定批准更窄的自动执行范围。
这是完整安全标准吗？
不是。这份服务商自编工程清单只作补充，不能取代组织的安全架构、威胁模型、法律责任和事故程序。