智能体平台安全不能沿用“工具账号已经有权限，所以Agent也能用”的逻辑。工具账号的权限是给某类人员或系统设计的，Agent会根据模型计划动态选择动作、组合参数，并可能在用户没有明确预期时陆续在执行。若自动化直接继承高权限账号，数据访问和业务操作两道边界都会被穿透。

安全设计需要双重围栏：数据围栏限定能读到什么，操作围栏限定能对哪些对象做什么。两者叠加当前用户、Agent、环境、时间和审批，才形成一次调用的有效授权。

用户授权不能被服务账号稀释

用户从应用入口发起任务后，身份需要沿Agent、工具网关和业务系统传递。下游若只看统一服务账号，就失去了原用户的组织、数据和操作范围。平台可以采用代理授权、细粒度策略或其他方式补偿，但必须能证明实际调用没有扩大边界。

验收时记录入口用户、Agent身份、调用工具、目标对象和业务系统看到的执行主体。用两个权限不同的用户运行同一任务，比较工具发现、参数、允许动作和结果。只在前端隐藏按钮不够，后端调用也要拒绝。

服务账号本身应最小化，按工具、环境或动作拆分，并有轮换与停用。所有Agent共享一个长期高权限凭据，会让审计无法区分用户，也扩大泄露与误用影响。

数据围栏控制读取、派生与传出

数据边界不只指原始数据库。工具返回的字段、检索片段、附件、Prompt上下文、模型输出、日志和缓存都可能含敏感信息。数据围栏要说明允许读取的对象、字段或知识域，允许用于哪类任务，结果能否传给外部模型或系统。

一个用户有权查看客户记录，不等于Agent可把完整记录送给任何工具。平台需要在调用前检查目标与用途，在返回后控制上下文和日志。必要时做字段过滤、脱敏或只传摘要，但具体规则由企业数据所有者定义。

数据权限必须覆盖“读到、带走、派生和留存”四个阶段，只控制查询入口仍会在后续链路泄露。

操作围栏按动作后果设置授权

查询、创建草稿、修改记录、发送通知和删除对象的风险不同。操作围栏应细化到工具动作与目标对象，并限制参数、环境和有效时间。高风险动作可以要求审批、二次确认或保留人工执行。

Agent计划中多个动作还会产生组合风险：单次查询和单次发送各自允许，组合后可能把敏感结果发送到错误目标。平台若支持计划级策略，应对跨工具数据流进行控制；暂不支持时，可以限制工具组合、加审批或让应用层校验。

幂等和补偿也属于操作安全。重复执行可能造成业务损失，回退权限又可能比原动作更高。审批应明确覆盖哪次动作，而不是授予长期管理员权限。

双围栏在每次调用处相交

下图展示Agent调用工具时同时穿过数据边界和操作边界。阅读时关注交点：当前身份是否可以读取这些数据，并对这个目标执行该动作。只满足一边都不能放行。

围栏应在运行时使用当前上下文决策，因为用户权限、目标对象和审批状态可能变化。流程发布时的静态审核不能替代每次调用检查。

拒绝结果要清楚传给Agent，并阻止它顺利获得替代工具或调整措辞绕开。模型可以提出申请或转人工，不能自行解释安全策略。

例外路径比普通权限更需要设计

生产中会有紧急处置、临时项目和特殊审批。例外应绑定申请人、原因、动作、对象、环境、期限和批准者，到期自动收回，并对实际使用单独审计。不能用共享管理员账号作为“紧急通道”。

POC可以验证一次临时授权：申请只读或特定写入，批准后生效，超出对象仍拒绝，到期后旧任务不能继续。随后从审计中还原谁申请、谁批准、调用了什么、结果如何。

紧急访问如果需要值守人员操作，也应把人工动作记录到同一任务事件中。人工接管不是离开审计，而是换了执行主体。

用攻击性场景验证边界，而非只测正常调用

安全POC应包括参数越界、对象越界、跨租户访问、审批重放、撤权后的旧会话、工具返回敏感字段和提示诱导调用未授权工具。每次只改变一个边界条件，确认拒绝发生在执行前，且没有把敏感信息写入答案或日志。

真实敏感系统不宜做破坏性测试时，可在隔离环境使用同构数据与模拟动作。模拟能验证策略链，但正式身份映射、目标系统权限和日志处理仍需上线前复核。

测试不仅看是否拒绝，也看拒绝后的计划。Agent应停止、降级或申请帮助，而不是不断尝试其他路径。陆续在绕行行为需要告警和限制。

平台控制与企业政策各自负责什么

平台负责提供身份连接、工具目录、策略执行、凭据保护、审批、审计和停止能力。企业负责数据分类、角色、业务动作授权、例外规则、风险接受和审计复核。业务系统所有者维护接口与对象权限。

供应方可帮助配置和排障，却不能替企业决定谁应访问哪份数据或执行哪项业务。采购时应检查平台是否能表达企业规则，而不是把平台默认角色当作企业最终权限模型。

若一条规则无法映射到实际工具调用并由日志证明，安全制度与平台执行之间仍有缺口。

阻断线放在越权与不可逆后果之前

用户边界丢失、统一高权限服务账号无补偿控制、未审批写入、跨租户读取、敏感返回进入外部目标、例外无法到期、审计无法关联主体，这些问题应阻断相应工具或场景上线。一般管理体验和报表问题可以限期优化。

团队可在 AI基础设施分类 延伸阅读Agent与工具治理。下一步选择一个含敏感读取和受控写入的场景，分别验证正常、越界、临时授权和到期行为。

安全回归应由正常用户和受限用户共同执行，既检查越权，也防止策略更新造成大面积误拒绝。

策略复验完成后，应检查旧会话、缓存和在途任务是否仍持有已撤销权限，避免边界只对新请求生效。

安全团队还应抽查高风险调用和例外到期情况，确认策略不仅存在，而且在真实任务中持续执行。

抽查结论应进入策略改进和例外关闭，而不是只形成一次审计报告。

常见问题

工具已经有账号权限，为什么Agent还要再授权？

因为工具账号的权限通常代表系统或人员角色，不包含当前用户委托Agent的具体目的和范围。Agent还会动态选择动作与参数，若直接继承账号全部权限，就可能读写用户未授权的对象。

• 将入口用户或服务身份传递到工具策略
• 把权限细化到动作、目标对象、环境和有效时间
• 对高风险写入绑定审批或二次确认
• 记录策略决定与业务系统实际执行主体

工具账号可以作为技术连接，但平台必须补足用户级或任务级限制。否则账号能做什么就变成所有Agent都能做什么。

复核对象应包含入口用户、Agent身份、工具动作、数据去向和临时授权期限，确认数据围栏与操作围栏在同次调用中相交。

平台能否独自保证数据不越界？

不能。平台可以执行身份、策略、过滤、审计和凭据控制，但企业必须定义数据分类、所有者、角色、用途、外发和保留规则。目标系统的权限与数据质量也由相应所有者维护。

平台选型应验证企业规则能否被表达并落到调用。若需要应用层或网关补充控制，要说明接口和责任。购买安全能力不等于治理完成，最终边界由制度、配置、运行证据和持续复核共同形成。

• 平台执行身份、策略、凭据保护和审计控制
• 企业定义数据分级、业务授权、例外与风险接受
• 目标系统所有者维护对象权限、接口与实际业务结果

紧急操作如何兼顾效率和审计？

使用预定义的临时授权，而不是共享管理员账号。申请中限定原因、动作、目标对象、环境和有效期，由适当角色批准；平台在期限内放行，并完整记录实际调用，结束后自动收回。

紧急流程还要提供快速接管和停止，避免等待普通审批造成更大影响。事后由安全、业务和运维复核实际动作与必要性。效率来自流程预先设计，不是故障时临时绕过边界。

临时授权结束后应复核凭据、缓存和在途任务，确保权限没有在其他环节残留。

复核对象应包含入口用户、Agent身份、工具动作、数据去向和临时授权期限，确认数据围栏与操作围栏在同次调用中相交。