智能体AI的边界问题，本质是平台问题
内容提要
文章指出，AI代理的权限会随工具和凭证的逐步累积而悄然扩张，形成无人决策的隐性风险；仅靠指令约束无效，因为能力由工具绑定决定。应把边界放在平台层：以身份认证为核心，依次限制连接范围、工具调用权限和数据访问，并禁止代理修改自身权限配置。代理只负责判断与建议，关键结果由确定性流程和人工审批把关。
延伸解读
权限漂移：无人决策的隐性风险
文章指出，智能体的实际权限往往不是刻意授予的，而是工具和凭证在多次工作流中逐步累积的结果。一个为演示而设的凭证可能存活到生产环境，一个为临时部署添加的委托可能成为永久连接。这种“权限漂移”没有明确的决策时刻，因此难以通过流程审查发现。风险在于，智能体的行为可能始终合规，但边界却在无人察觉中持续扩张，直到某天有人问“它居然能这样做？”时，答案往往是“已经好几周了”。
指令约束为何无效：能力由工具绑定决定
文章强调，仅靠指令约束智能体是结构性的失败。智能体的输出是概率分布，即使99%的情况下遵守指令，剩余1%的偏差在边界场景下恰恰最危险。更根本的是，指令表达意图，而工具绑定表达能力；当两者冲突时，能力胜出，因为只有能力会执行。一个被指示不得转账的智能体，只要持有转账工具，就可能因一次巧妙的提示或推理失误而转账。因此，边界必须放在能力所在的平台层，而非智能体的推理中。
平台层边界：身份、连接、能力与数据的分层控制
文章提出“安全操作模型”，以身份认证为核心，向外依次限制连接范围、工具调用权限和数据访问。身份验证确保平台知道“谁在行动”，连接控制基于身份按连接拒绝未声明的访问，能力控制则在准入和调用两个环节授权工具使用。关键基石是禁止智能体修改自身权限配置——它只能在边界内行动，不能重写边界。数据层由数据平面基于同一身份执行范围控制。这些控制共同构成智能体无法从内部溶解的边界。
确定性主干：智能体负责判断，关键结果由流程把关
文章主张将自主性放在正确的位置：确定性主干承载可重复、可审计的流程、状态和审批，智能体则嵌入其中，负责解读文档、权衡信号、起草建议等认知工作，但不拥有结果。例如在贷款审批中，智能体可以生成建议及推理，但不能批准贷款、定价或转移资金。最稳健的模式是智能体输出建议或变更草案，由人工审核后经流水线应用。这样，审批成为系统属性而非智能体可绕过的步骤，审计证据也作为运营副产品自然产生。
Q&A
为什么说智能体AI的边界问题本质上是平台问题，而不是智能体自身的问题？
因为智能体的实际能力由它绑定的工具和凭证决定，而非指令。指令是意图声明，工具绑定是能力声明，两者冲突时能力胜出。智能体无法可靠地约束自己，所以边界必须放在平台层，由基础设施决定智能体能够触及什么。
智能体的权限为什么会不知不觉地扩张？
权限是逐步、局部、隐性地累积的：为某个工作流添加的工具会保留给所有工作流，为演示配置的凭证会存活到生产环境，为临时解封而加的委托会成为永久边。没有人刻意决定给予这些权限，能力就这样悄然漂移，直到有人问“它能做那个吗？”时才发现已经存在数周。
为什么不能靠给智能体写指令来限制它的行为？
智能体的输出是概率分布，不是保证。边界在99次中成立、第100次失效，就不是边界。而且即使智能体完全遵守指令，它仍拥有工具和凭证实际授予的权限；指令和能力处于不同层，只有能力会执行。因此指令无法关闭意图范围与授予能力之间的差距。
安全操作模型中的同心环具体包括哪些层次，顺序为什么重要？
从内到外依次是：身份（核心）、可达范围（Ring 1）、能力（Ring 2）、数据（Ring 3）。顺序重要是因为外层依赖内层：不知道谁在连接就无法执行可达范围，不知道谁在行动就无法执行能力。身份是中心，因为所有其他控制都基于它来解析。
什么是“拱心石”规则，为什么它至关重要？
拱心石规则是指智能体自身的身份被拒绝修改定义其权限的任何对象（身份注册、网格授权、准入策略、工具白名单等）。如果智能体能编辑自己的能力定义或放宽策略，边界就形同虚设。改变智能体权限只能通过版本控制配置的受审变更，由人或流水线执行，绝不能在运行时由智能体自己完成。
在受监管的工作流中，智能体应该扮演什么角色？
智能体应负责判断与建议，例如阅读文档、权衡信号、起草建议并附上推理，但不拥有结果。关键结果由确定性流程和人工审批把关。以贷款审批为例，智能体可以推荐，但不能批准贷款、超出政策定价或转移资金；它只能输出提议变更，由人审查、流水线应用。
平台层如何实现智能体行为的可审计性？
当身份经过验证、可达范围被声明、能力按操作授予、结果通过受审变更流转时，系统在运行过程中自然产生证据。平台记录了智能体被允许做什么，边界留下了痕迹，无需事后重建或依赖智能体自己的说法。这种源于执行的溯源比任何自我保证都更有价值。
