AI Agent权限治理：多给一个工具就多一分风险

Anthropic七月底那份安全评估报告，可以当个典型案例来看。三个Claude模型在模拟环境里跑网络安全练习题，评估配置出bug，实际上连着外部网络。模型以为在模拟环境里，结果一个Claude真往真实的PyPI仓库发了个恶意Python包。

这里有个工程上的老问题：

提示词不是安全边界。

跟模型说"你没有网络权限"，不等于真把网络权限摘掉。给Agent配工具时，我们往往关注它"能干什么"，忽略了"不该碰什么"。

我们团队落地时的做法，就一句话：默认最小权限。

一、权限要按任务需求给，别给全量

比如我们的内部Agent要读代码库，那就只给它扫描仓库目录的权限，不要给整个服务器的读写。

二、假设可能出错，预设失败场景

配置里写着"无网络"，但环境配置有bug，网络是通的。别假设提示词+环境配置就万无一失，要假设最坏情况会发生，然后提前加防护。

三、Agent能做事，就必须能审计

我们给Agent加了日志审计，每个操作都留痕。不是信不过模型，是怕出问题时连排查的入口都没。

四、单层防护不够

权限限制、环境隔离、监控告警，至少两层以上。之前只靠提示词约束，出了事才知道那层纸根本靠不住。

五、模型只是系统一部分

工具、凭证、环境、监控，每条链路都可能出问题。模型行为重要，但周边系统设计更重要。

别被"AI失控"这类标题带节奏，技术问题本质还是工程问题。权限最小化、失败假设、多层防护，这些老工程原则在AI时代反而更值钱。