AI Agent 能做多少：权限、审批与人工接管边界

AI Agent 的权限不该是一个「能不能自动做」的总开关，而应拆成五级动作：读取、生成、修改、执行、对外发送。前一级的结果可以成为后一级的输入，但不能自动继承后一级权限；能读客户记录，不代表能改记录，能写邮件草稿，更不代表能替公司发出去。

审批强度取决于三件事：错误是否容易撤回、是否能及时发现、影响会扩散到多大范围。动作越不可逆、发现越滞后、波及对象越多，就越要让人提前确认。这个判断比「Agent 聪不聪明」稳定，因为模型和工具会变化，错误后果不会凭空消失。

权限不是授给模型，而是卡在动作出口

Agent 能做事，通常依赖模型提出结构化工具请求，再由外部程序执行；Function Calling 的完整机制解释了这条链路。治理抓手因此不在提示词里的一句「请谨慎」，而在工具出口：每次请求都重新校验发起人、任务目的、目标对象、允许字段、数量上限和有效时间。模型负责建议下一步，权限组件负责决定这一步能否发生。

一个稳妥的默认规则是：身份权限不会因为经过 Agent 而扩大，Agent 也不能给自己增加工具或绕过审批。审批通过的应是这一次、这个对象、这组参数的具体动作，不是永久开放一个模糊能力。例如批准向三位已选客户发送已预览的通知，不等于批准今后向整个客户库自动群发。

读取闸门：先限定看什么，再讨论怎么用

读取不会改动业务数据，却不等于低风险。一个 Agent 若能同时看到全部客户、员工薪酬、合同和聊天记录，即使最终只输出摘要，也已经扩大了信息暴露面。读取闸门要限定数据源、记录范围、字段、时间区间与用途，并沿用发起人的身份权限。任务只需客户名称和订单状态，就不应顺带返回证件号、私人电话或完整付款信息。

自动放行适合边界固定、字段经过筛选、单次量可控的查询；跨部门数据、批量导出、敏感字段或与当前任务无关的扩展检索，应拒绝或转审批。审批页面不能只写「允许读取 CRM」，而要显示数据类别、预计记录数和用途。管理者可以先用企业资料进入 AI 前的数据边界确定禁区，再把这些禁区固化成机器可执行的读取规则。

生成闸门：草稿可以自动，事实与承诺必须可核

生成是模型产出文本、表格、方案或代码，但尚未改变业务系统，也没有触达外部对象。这里最重要的边界是把「草稿」和「已批准内容」分开存放、分开展示。内部头脑风暴和格式整理可以自动完成；含价格、日期、政策解释、客户承诺或高影响判断的内容，要附来源、标出不确定项，再进入人工复核。

生成闸门不是要求每段文字都签字，而是按用途分级。同一段摘要，供个人整理时风险有限，直接进入董事会材料或客户答复时要求完全不同。系统应记录所用资料版本和生成时间，让审批人知道自己在确认什么；团队也可借用AI 产出分级复核清单建立「机器自检、业务复核、专业终审」的不同路径。生成完成，只代表有了候选结果。

修改闸门：让人看到差异，而不是只看到按钮

修改会写回已有记录，例如补全 CRM 字段、调整工单分类、更新文档状态。它比生成更危险，因为错误可能被后续流程当成真实数据继续使用。适合自动修改的，通常是字段白名单明确、格式可校验、影响局部且可回滚的动作；删除、覆盖原文、批量改写或改变关键业务状态，则应进入审批。

审批人需要看到修改前后差异、修改依据、受影响对象和回滚方式，而不是面对一句「Agent 请求更新记录」盲点同意。写回时还要检查版本：如果人在 Agent 生成建议后已经改过记录，旧建议不能覆盖新数据。较稳妥的实现是先提交补丁，校验目标版本仍一致，再落库并留下变更记录。审批绑定差异，回滚绑定版本，才能把一次误改限制在可恢复范围内。

执行闸门：控制真实副作用与连锁反应

执行指启动一个会继续向前运行的业务动作，例如创建采购申请、安排服务、触发批处理、关闭工单或提交退款流程。即使动作本身可以撤销，它也可能通知他人、占用库存或触发下一套系统。因此执行闸门要同时控制动作类型、单次额度、批量规模、频率、运行时段与依赖条件，并在可能时先提供模拟结果。

重复执行也是常见风险：网络超时后 Agent 不确定是否成功，再试一次，就可能创建两张申请。执行接口应能识别同一任务的重复请求，并把「已执行」「失败」「结果未知」明确返回。涉及资金、权限变更、删除、法定流程或大范围业务中断的动作，不宜因为模型置信度高就自动放行；Agent 可以整理材料和预填表单，最终提交仍由有职责的人完成。

对外发送闸门：把受众、渠道与公司承诺单独审批

对外发送值得从「执行」中单独拆出来，因为信息一旦离开组织边界，撤回通常不完整，还可能形成客户预期或公司承诺。闸门要核对收件人来源、发送渠道、正文最终版本、附件、敏感字段和是否包含价格、交付期、退款口径等承诺。内部生成通过，不代表外发通过；审批后正文或收件人发生变化，也应让原批准失效。

低风险、固定模板、明确订阅关系且小批量的通知，可以在规则内自动发送；个性化销售承诺、投诉回复、合同往来、公开发布和大规模触达，应由相应责任人预览。系统还要设置速率和总量上限，避免一次错误迅速扩散。外发记录应能回答「谁批准了哪个版本、发给谁、通过什么渠道」，而不是只保留一个模糊的成功状态。

审批与人工接管必须真的能用

如果每个动作都弹窗，审批人很快会机械点通过；如果审批材料缺少依据，人也无法承担有效判断。好的审批包只呈现决策所需信息：Agent 想做什么、为什么、证据来自哪里、会影响谁、最坏后果是什么、能否回滚。低风险重复动作可由预先批准的规则放行，把人的注意力留给异常、越界和高影响步骤。

人工接管也不只是一个「停止」按钮。人需要暂停后续调用、看到当前状态和已完成动作、修改计划、亲自执行某一步，再从明确检查点恢复。审批超时、负责人离线或系统状态不确定时，应暂停并升级，而不是悄悄降低门槛继续。接管之后还要标明控制权在谁手里，避免人和 Agent 同时修改同一对象。

真正的人工在环，不是系统出事后能找到一个人，而是关键动作发生前，人拿得到证据、来得及拒绝，也接得过控制权。

上线前，用越权与失败场景验证五道闸门

权限设计不能只沿着成功路径验收。测试人员应故意请求越权字段、替换审批后的正文、重复提交、扩大收件人范围、在修改期间制造版本冲突，并让审批人超时不处理。系统若只是让任务「最终完成」，却无法证明闸门在异常下仍然生效，就还不具备生产条件。

1. 读取：超出身份、字段、数量或用途范围时，是否拒绝并留下原因。
2. 生成：高影响内容是否标为草稿，来源和不确定项是否随结果进入复核。
3. 修改：审批是否绑定具体差异，版本冲突时是否停止覆盖，能否按记录回滚。
4. 执行：重复请求是否只产生一次副作用，额度、频率和高风险动作是否被硬限制。
5. 外发：正文、附件或受众变化后，原审批是否失效；人能否在发送前暂停并接管。

从五级动作设计权限，还有一个额外好处：你会更早发现任务其实不需要那么多自主性。路径固定、规则明确的部分，交给可审计工作流往往更简单；只有确实需要临场判断的节点才使用 Agent，这一取舍可参考AI 工作流和 AI Agent 怎么选。目标不是让 Agent 获得尽可能大的权限，而是让它在最小授权下完成可验证的工作。