企业给 Agent 开工具权限，先开哪类、后开哪类

Agent 工具权限先开只读查询，再开内部草稿和可撤回写入；改业务系统要设上限，对外发送要先经人批准，资金和不可逆操作可以长期保留人审。每次加权限，都要说清楚这次允许它做什么、错了影响谁、谁能把它停下来。

同一个工具里，查客户资料、改客户字段、给客户发邮件，后果各不相同。开通连接器时就要拆开这些动作，别把整个账号的权限一起交给 Agent。下面按动作后果安排开放顺序，升级依据是运行记录和检查结果。

只读查询：先确认它看对了人、找对了资料

第一步可以让 Agent 查知识库、读任务相关记录、整理摘要。开放前，先限定它能查的部门、项目、字段和时间范围。整理某个项目的进展，只给这个项目的资料；不顺带开放其他客户合同和员工信息。

只读也有出错的后果。它可能把同名客户认成一个人，把旧报价当成现价，或者在摘要里带出无关的个人信息。检查时要对照资料来源，看它是否找错对象、引用过期内容，以及遇到缺项时会不会停下来问。

准备升到起草权限之前，要确认这些问题有检测办法，越界查询能被系统挡住，负责人也能从记录里还原查询过程。发现跨客户取数，就先缩小可读范围；出现不该看到的资料，撤掉相关访问凭证，查清原因后再恢复。不能只靠补一句提示词继续跑。

内部草稿：保存在哪里，谁会接着使用

下一步可以开放会议纪要草稿、待确认的任务清单，以及不会触发后续流程的内部备注。开放条件是草稿有明确标记，保存位置与正式记录分开，删除或恢复都有办法，而且没有其他系统把它当成已确认结果。

判断一项写入能否放在这一层，要沿着它的后续流程查。内部备注如果会触发客户通知，就按对外动作处理；任务草稿如果会自动派单，也已经超出了单纯起草的范围。界面上写着“草稿”，不能代替这项检查。

这一层要看人工改了哪些内容、是否反复覆盖别人修改、失败重试会不会多建一份。能够稳定保留人工改动，重复请求不会重复写入，撤回也验证过，才考虑给它有限的正式写入权限。发现误覆盖或下游误用，先退回只生成文本，由人手动保存。

内部系统写入：限制字段，也限制影响范围

写正式系统之前，把允许修改的对象和字段列出来。比如只允许更新本任务的处理状态，不允许改负责人、客户归属或合同金额。执行端还要限制单次修改范围、累计修改量和调用频次；具体上限由业务负责人按可承受的影响来定。

回滚要在开放前试过。保存修改前的值还不够，恢复时还要检查这条记录是否又被人更新。如果直接用旧值覆盖，就可能把后来的正确修改一起抹掉。遇到冲突，应停下并交给负责人处理。

观察信号包括改错对象、重复写入、超限拦截，以及恢复失败。错误原因查清、修正后重新验证，负责人再决定是否扩大范围。出现批量误改或恢复失败，就关闭写入口，保留查询和草稿能力。排队等待执行的任务也要重查权限，不能沿用撤权前的放行结果。

要把这类检查接进生产流程，可以对照 Agent 试点能跑通，扩到生产还缺哪几项？，逐项确认负责人、接手路径和回滚条件。

对外动作：人批准的内容，要和实际执行的一致

发邮件、提交客户方案，以及会影响客户权益的数据修改，都先进入人工审批。付款也要经过这一步，并按后面的资金规则继续限制。批准前，把目标对象、完整内容、涉及金额、修改前后差异放在一起，让审核人看清这次具体会发生什么。

批准应绑定本次动作。收件人、附件、正文或客户字段变了，就重新提交。不能拿上次的同意继续发送新内容，也不能在审批超时后默认放行。实际调用工具之前，执行端再核对一次批准记录和当前参数。

这一层要看退回原因、审核人改了哪些内容，以及有没有批准后又被替换的情况。只有范围固定、内容可核验的例行动作，才适合单独讨论自动执行；新的客户、新的承诺继续交人看。发现错发或绕过审批，就暂停发送工具，取消待发任务，再核对已经执行的记录。

读和发送如何拆开，可以参照 Agent 读邮件可以，改日历发信要先批什么。撤掉发送权限以后，仍可保留整理邮件和起草回复的能力。

资金和不可逆操作：可以一直由人执行

付款、删除没有备份的数据、提交无法撤销的业务指令，适合放到最后评估。Agent 可以准备材料和检查缺项，执行权长期留给人。开放其他工具后运行正常，也不能据此推定它适合处理资金。

如果确实要接入执行工具，先确认审批人的权限、收款对象、金额限制和重复执行检查都由系统落实，并演练如何停用。观察时重点看参数是否发生变化、结果不明时是否重复提交。支付请求超时，要先查交易状态，不能直接再付。

出现对象不符、重复请求或结果无法确认，就停止后续操作，交人核账。已经发生的转账可能需要另行追回，不能把“撤掉权限”写成“钱已退回”。这一层没有自动升级要求，核验条件不齐就不开放。

每次任务给临时凭证，日志留下操作证据

Agent 工具权限尽量按任务发放。凭证只允许本次需要的动作和数据范围，到期或任务结束就失效。最小权限要落在工具端：即使 Agent 提出了越界请求，系统也不执行。共享管理员账号会让任务范围和实际能力脱节。

操作日志记录任务、操作者、工具、目标对象、关键参数、批准人、执行结果和撤回结果。敏感字段做脱敏，日志本身也限制访问，不记录完整凭证。收回权限时同步停止排队任务，处理已执行动作，再由负责人确认恢复到哪一层。

Agent 工具权限：常见问题

模型答得准，就能直接给写权限吗？

不能据此直接开放。回答检查的是内容，写操作还涉及目标对象、重复执行和恢复结果。先在受限范围验证这些行为，再决定具体开放哪些字段和动作。

出问题后要关掉整个 Agent 吗？

先暂停受影响的动作。错发邮件就撤掉发送能力；查到了越权资料，还要收紧读取范围。如果无法确认影响范围，先停整个任务，查清已经执行的操作后再恢复。

权限阶梯要按固定时间往上升吗？

权限阶梯按检查结果调整，不按运行天数升级。每次扩大范围前，确认上一层的问题已处理、下一层的限制已配置、撤权和接手路径已试过。资金和不可逆操作可以一直保留人审。