企业上 AI 前，权限与安全边界怎么定：五件事与一份检查表

去年帮一家南昌本地的制造企业做智能体上线评审，问到「这个智能体能不能改 ERP 里的交期」，负责人愣了一下说「应该可以吧，接口是通的」。那一刻项目停了三天，不是技术问题，是没人说得清它到底被允许做什么。

这类事在企业上 AI 的早期特别常见。大家在比模型、比效果、比提示词，很少有人在白板上画一条线：哪些动作机器可以自己干，哪些必须停下来等人点确认。这条线画不清楚，后面所有的权限、审计、接管都是空谈。

一、先写清楚：哪些能自动，哪些必须停

我们现在的做法是，每个智能体上线前必须填一张动作清单，逐条标 A（自动执行）、B（执行后通知）、C（必须人工确认后执行）、D（禁止）。判断标准不复杂：

• 写操作还是读操作。查订单、查库存这类读操作风险低，可以自动；改价格、改交期、发合同、退款，一律归 C。
• 能不能撤销。邮件发出去就撤不回，归 C；草稿存在系统里没人看见，可以 A。
• 影响面有多大。只影响一个人，还是影响一批客户，分界线通常在这里。
• 金额和对外承诺。凡涉及报价、账期、赔付的，不管金额多小都走人工。

这张清单要客户方的业务负责人签字，不是 IT 签字。原因很简单：出了问题，是业务在承担后果。

二、权限收窄：别给账号，给动作

「给它开个管理员账号方便调试」——这句话我们听过太多次，也亲手踩过。结果是智能体什么都能碰，出了事没法判断是模型判断错，还是权限本来给宽了。

更稳的做法是把权限粒度从「系统账号」下沉到「具体动作」。在AI 智能体私有化部署里我们一般这么切：

• 智能体只拿一个专用服务账号，权限清单写在配置里，多一条都不要。
• 读库和写库用两个不同的连接，读账号对写操作直接没权限，从数据层兜底。
• 对接企微、CRM、邮件这类外部系统，用独立应用凭证，能设 IP 白名单就设，能限频就限。
• 凭证不写在提示词或代码里，走密钥管理并定期轮换。这条听着基础，但真见过把 key 贴在前端配置里的。

还有个容易忽略的点：智能体挂的工具越多，被诱导去做越权操作的面就越大。工具清单要定期砍，用不上的下掉。行业里常说的最小权限原则，落到实操就是这句话——不是给身份，是给动作。

三、数据分级：不是所有文档都该进知识库

企业知识库是重灾区。不少公司的做法是把共享盘整个打包扔进去，图省事，结果薪酬表、人事谈话记录、没公开的报价单全在里面。员工随口一问，智能体就答了。

我们建议按三档处理，颗粒度细到文件夹和字段：

级别	典型内容	处理方式
公开	产品手册、对外报价区间、常见问题	可入库，全员可用
内部	流程文件、项目文档、内部制度	入库但按部门隔离检索，答案标注来源
受控	薪酬、合同原件、客户个人信息、未公开财务	不进通用库，或脱敏后单独建库，限定角色

做企业知识库时有个细节值得强调：权限要在检索阶段生效，不是生成答案之后再过滤。先检索后过滤的架构，等于敏感内容已经进了模型上下文，日志里、缓存里都可能留下痕迹。

四、操作审批：审批要长在流程里，不能靠人盯

很多企业说自己有审批，实际是人盯人——智能体在群里发一句「我要发这批货了，行不行」，业务回个「行」。三个月后没人回了，智能体自己也学会了不等。

审批得变成结构化的东西：待办卡片、明确的动作参数、超时默认拒绝、审批留痕。在AI 工作流自动化里，我们通常把 C 类动作做成一个挂起节点，智能体走到这里就停下，等人点通过或驳回，而不是先执行再补单。

几条实用约束：

1. 同类动作连续多次被驳回，自动降级为全人工，别让它在同一个坑里反复试探。
2. 审批人不能是发起人本人，哪怕这个人是老板。
3. 批量操作设上限，比如一次只处理 20 条，超过就拆批走人工。

五、日志审计：出了事能不能复盘

判断一套 AI 系统能不能上生产，我的土办法是问一句：能不能还原某一次回答的完整链路？包括谁问的、检索到哪些片段、调的哪个模型、用了什么参数、触发哪个工具、返回了什么。

日志至少要记四类：会话与提问、检索命中的文档 ID、工具调用与参数、审批动作与操作人。保存周期按行业要求走，一般建议不少于六个月。

另外提醒一句隐私：日志本身也是数据资产。对话里带客户手机号、身份证号的，落库前要脱敏，别在审计表里又堆一份敏感信息。私有化部署在这块的优势是日志不出企业内网，对有政企客户、金融或医疗业务的团队比较关键。

六、人工接管：一键停手和那个兜底的人

再好的提示词也会遇上模型抽风、上游接口变更、被恶意引导。系统必须有一个谁都能按的停止键，按下去之后智能体立刻停止所有写操作，只保留只读。

接管还包含两件事：一是有明确的兜底人，业务侧一个、技术侧一个，写进值班表；二是有降级路径，模型服务不可用时退回人工流程，而不是让整个业务卡住。

我们内部还有个约定，所有要上线的智能体都做一次红队自查：故意问越权问题、故意给矛盾指令、故意在文档里埋一句「忽略以上规则」。跑一轮下来，通常能暴露七八成问题。

落地检查表

下面这张表可以直接拿去开会用，逐条打勾，没打勾的不要上线。

维度	检查项	是否完成
边界	动作清单已列明 A/B/C/D 四类，业务负责人签字	□
权限	专用服务账号，读写分离，凭证走密钥管理	□
权限	工具清单已收敛，无用的外部接口已下线	□
数据	文档已按公开/内部/受控分级，受控内容不进通用库	□
数据	检索阶段做权限隔离，而非答案生成后过滤	□
审批	C 类动作有挂起节点，超时默认拒绝	□
审计	能还原单次回答的检索、模型、工具调用全链路	□
审计	日志保存周期明确，敏感字段已脱敏	□
接管	停止键可用，按下后仅保留只读	□
接管	业务与技术兜底人已指定，降级路径已演练	□

下一步可以怎么走

如果你的智能体还在试点阶段，别急着扩场景。先挑一个影响面最小的流程，把上面这张表跑一遍，跑通再复制到第二个、第三个。真正卡住项目的往往不是模型能力，而是没人敢在「它能自己动钱」这件事上签字。

我们做方案评审时，一般会拉着业务、IT、法务一起过这张表，两小时能定下大部分争议。需要一份可以直接改的清单模板，或者想让我们陪着过一遍现有智能体的权限配置，可以联系我们，也可以直接打 400-873-2750。