Agent 安全
这个 Agent 最多可以安全地拥有多大权限？
为 Agent 的每项动作设置最小权限，把人工复核放在产生后果之前，并演练安全的恢复路径。
AI VISTA / DECISION01 / 03
当前判断只有在观察、审批和恢复方式已经明确后，才逐级增加自主程度。
01输入
02验收
03边界
带回真实任务复核✓
判断分支
先回答这个主题真正要做的决定。
- 先问↓
每项读取、写入、通知或付款动作会改变什么，谁有权在执行前批准？
- 如果↓
权限、复核位置和超时恢复都经过演练，才逐项提高可自动执行的范围。
- 否则✓
保持只读或草稿模式，指定人工接手人，并阻止未获批准的外部效果。
完整案例
退款 Agent 可以走到提交付款这一步吗？
Agent 会读取工单、查询订单、计算退款额、写入 CRM，并可能调用支付工具。同一流程里既有只读动作，也有会直接改变客户余额的动作。
最终产物一套权限阶梯、人工复核关卡与恢复手册：标明动作负责人、批准范围、未知结果和回退路径。
01错误捷径
只在最终按钮前增加一次人工确认，却不展示依据、变化内容，也没有处理重复请求和工具超时。
02更好的判断
按动作设置权限：读取可自动，CRM 草稿可撤销，付款需绑定订单、金额与一次明确批准。复核者在付款前看到依据和将发生的变化，值班人员负责处理未知结果。
03如何验收
演练重复请求、支付超时、金额异常和人工拒绝。流程不会重复退款；部分成功有负责人，且值班人员能依据记录决定继续、回退或关闭。
进入与离开信号
知道何时进入，也要知道什么时候已经足够。
主题页不是无限深入的知识目录。进入信号帮助你判断当前问题是否属于这一层；完成信号用来决定是否继续下一主题，而不是用阅读时长代替成果。
01从这里进入
- Agent 的动作即将写入、通知或付款
- 复核者看不到执行依据或批准范围
- 重复执行与部分成功缺少恢复责任
02达到这些信号后离开
- 每项高影响动作有最小权限与明确批准范围
- 复核发生在执行前且可以拒绝或修改
- 至少一次超时、重复或部分成功演练有安全结果
5 项实践
按顺序建立判断、制作产物，再用真实案例复核。
01 只给 Agent 完成任务所需的最小权限把每个动作放进五级权限阶梯，从只读建议到必须明确批准的不可逆操作。 Agent 安全 02 AI Agent 沙箱怎么验收？测试文件、网络、命令与凭据隔离为 Agent 执行环境设计允许与拒绝探针，逐项验收挂载、网络出口、命令与资源限制、服务身份和持证适配器。 Agent 安全 03 把人工复核放在仍能改变结果的位置根据影响、可撤销性和不确定性设置复核关卡，并给评审者足够的证据与动作，让人工真正能够改变决定。 Agent 安全 04 在 Agent 出错之前，先设计恢复方式在自动化进入生产前，写清停止信号、保存状态、负责人、回退动作和安全重试规则。 Agent 安全 05 让 AI 写代码但不失控：编码 Agent 的复核优先工作流编码 Agent 的任务门、差异门与运行时门：先看测试有没有被改弱，再让人类合并，而不是看到绿色就放行。 Agent 安全
不适用边界
这个主题页不会替你做什么？
权限阶梯帮助设计控制点，不等于组织授权或安全认证；真实系统的可撤销性必须单独验证。
01不要给 Agent 一套覆盖所有系统的管理员凭证02不要用笼统确认批准具体付款或发送动作03没有人工接手和恢复演练，就不要提升权限
当每个动作都能说明谁批准、何时复核、如何恢复，就把这些约束带入模型和成本运行。