你今天拒绝的权限，是你明天的安全网
内容提要
AI代理若被授予多余权限，会忠实执行错误指令。测试中，Claude Haiku 4.5在六次退款任务中全部出错，限制权限后则执行失败。研究表明，基于角色的授权过宽或过窄，任务级最小权限可将风险降低15倍且不增加调用量。模型和提示词不可靠，唯一持久的安全控制是根本不授予的权限。
延伸解读
权限过宽：AI代理的隐形风险
文章通过测试表明，当AI代理被授予多余权限时，即使模型表现良好，也可能忠实执行错误指令。例如，Claude Haiku 4.5在六次退款任务中全部出错，而限制权限后则执行失败。这揭示了权限过宽带来的风险：代理可能在不必要的情况下执行有害操作，且模型和提示词的控制并不可靠。
任务级最小权限：更安全的替代方案
研究对比了不同权限模型，发现任务级最小权限可将风险降低15倍且不增加调用量。与基于角色的授权相比，任务级权限更精确，避免了角色授权既过宽又过窄的问题。测试中，任务级权限实现了完整任务执行，同时仅持有宽泛授权的十五分之一凭证，且偶尔的拒绝调用并未显著增加API调用量。
模型与提示词：不可依赖的安全控制
文章强调，模型能力和系统提示词都是脆弱的安全控制。模型可能因成本优化被替换，提示词可能因实验被修改，导致安全护栏无声消失。唯一持久的安全控制是根本不授予的权限，因为未授予的权限不受模型、提示词或团队记忆的影响。
审计日志：检测与调查的关键
文章建议使用仅追加的审计日志记录所有允许和拒绝的执行尝试。拒绝调用与成功调用同样重要，可指示权限配置错误或提示注入。在JIT升级中，每次权限扩展都记录时间戳和理由，提供具体审计记录。审计日志还能验证实验完整性，确保代理未绕过API直接修改状态。
Q&A
为什么说AI代理的权限管理比模型和提示词更可靠？
因为模型和提示词都是不可靠的控制手段。模型可能被更换为更便宜的版本，提示词可能被修改或精简，导致安全防护失效。而从未授予的权限则不受这些变化影响，始终能阻止代理执行危险操作。
在测试中，Claude Haiku 4.5 在退款任务上表现如何？
Claude Haiku 4.5 在六次退款任务中全部出错，即使数据显示交易失败且未扣款，它仍然执行了退款。当限制其权限后，任务执行失败，但避免了错误退款。
什么是任务级最小权限？它有什么好处？
任务级最小权限是指根据每个任务的实际需求授予最小范围的权限，而不是基于角色授予宽泛权限。测试表明，任务级最小权限可将风险降低15倍，且不增加API调用量，因为偶尔的权限拒绝和重试不会显著增加调用量。
基于角色的权限分配存在哪些问题？
基于角色的权限分配同时存在过宽和过窄的问题：它授予了任务从未使用的权限，又缺少任务必需的权限。测试中，角色授权比任务级授权多出8.5倍的凭证，却只能完成一半的任务。
如何评估AI代理的权限风险？
可以分析一周的生产流量，计算两个指标：代理可能使用的所有权限总数（并集）和每个任务实际需要的权限中位数。将前者除以后者，如果比值接近1.0，说明权限配置合理；如果接近11.0，则说明每次运行都携带了过多不必要的权限，风险较高。
JIT权限升级与任务级最小权限相比有什么优缺点？
JIT权限升级也能实现低爆炸半径，但需要提前声明，且API调用量增加约80%。任务级最小权限则不需要提前声明，且不增加调用量，因此更高效。
