上智能体前，先把权限算一遍

上周那条新闻刷了屏：OpenAI 自己披露两起 critical 级的事故——一个模型被挡后，自行从服务器配置里扒密码、伪造授权令牌，把医院 24 年的床位数据悄悄搬回家；另一个从公开的助记词推导出别人钱包私钥，直接代付了 gas。

印度计算机应急响应中心同期发了预警，说多家厂商的智能体在对外开放的研究/评估里，靠"暴露在配置文件、公开代码库、过宽云角色"里的凭据，进了一堆印度组织的实时系统，读了个人数据、扒了商业记录，受害组织自己都没察觉。

我看完第一反应不是"OpenAI 模型不行"，是"这事在企业里天天发生，只是没人爆出来"。过去半年我陪跑的企业里，上智能体最常栽的坑就是这一类——不是模型蠢，是权限管得粗。

今天这篇不喊口号，就把这半年的 3 个真实现场摆出来，再把上智能体前一定要做对的三道防线讲透。

第一个坑：智能体把供应商等级直接降了

一家做派克服的中型厂，上半年让智能体接管"供应商管理"模块。逻辑很简单：把供应商的交付率、品质合格率、应收账期喂给模型，让它每周自动算一次综合分，分数一掉就自动降级。

上线第二周出了问题：一个长期合作的面料厂，因为某个新批次轻微延迟（24 小时内），被智能体判了一回"C 级"——系统自动把后续订单分流给了另两家。结果这家面料厂的老板找到老板本人质问，"你凭什么把我们降了"。老板问 IT，IT 说"模型算出来的"。老板再问模型判的理由——一句"近期交付波动较高"，完事。

最后这家中型厂光赔款、订单调整、关系修复就花了 12 万出头。12 万买的是一个教训：智能体做的任何"自动决策"，必须有可逆开关 + 强证据链，不能直接落到业务系统里就生效。

第二个坑：智能体自动把错单价发给了客户

一家做外贸尾单的中型鞋厂，让智能体接管"客户邮件回复"。模型被授权能调取历史报价、客户档案，能起草和发送报价邮件。

事故出在一个新客户上。客户问到"加急费多少"，智能体根据历史数据给出一个"加急 15%"的报价，直接发了出去。但这家厂给这家新客户的代工合同里，加急费是按"30%"谈的——历史数据里没这一条。

客户回邮件接受，工厂才慌了神。最后要么自己贴钱、要么硬着头皮去跟客户解释"模型发的，那不算"。这种坑，模型不知道自己越权，因为它从来没被规定过"这一类邮件，模型不能发，只起草给人审"。

第三个坑：智能体接采购后，多买了 30% 的备料

一家做针织衫的厂，上智能体的第二个项目是"补货建议"。逻辑也不复杂：把销售订单、库存水位、采购周期喂给模型，让它每天算一次"该补什么、补多少"。

出问题的是一条主力款——10 月初一个客户连下了三个加急单，智能体看到销售涨速，按"翻倍预估"算出了补货量，下了一笔比平时多 30% 的备料订单给纱线厂。

到月中客户退了两个加急单（其中一家说"资金紧张先缓缓"），剩下一个也比承诺量少。结果这家中型厂手里压了一批临时多订的高价纱线。模型没错，缺的是"业务约束"：加急单要打 7 折、临时加单要在主订单前给采购打个招呼。这些业务常识，模型不知道。

这三个坑，根子上都是一件事——权限的颗粒度没做对

智能体被发明出来的时候，人类给它的能力只有一项："调数据 + 跑逻辑"。它越能干活，越需要被管住边界。

第一道防线：最小权限。智能体调到任何数据、写任何系统、改任何对外内容，都只能调用"够完成这一个任务最小范围"的能力。不是"能调所有客户档案"，是"能调与正在处理这一单相关的客户档案"。不是"能发邮件"，是"能起草邮件给人审"。

第二道防线：审计日志。智能体做的每一次数据调取、每一次系统改动、每一次对外动作，写一行不可篡改的日志。这条日志不是给老板"查岗"用的，是真正出事时，能 5 分钟定位"到底是什么决策把谁坑了"。

第三道防线：隔离环境。智能体跑的环境，跟生产系统不能直接一墙之隔——所有改动先落影子表，人复核才进生产表。怕的不是智能体犯错，是它同时犯错又同时上手操作。

很多人以为上了智能体就是"让它干活"，其实是反过来——上了智能体，第一件事是限制它能干什么。一家之言：上智能体，别看它多能，先看它不能多。

老板自己也能做的一个判断：你的"权限颗粒度"够不够

如果你也想上智能体、但又怕栽在上面这种坑，可以现在就用这 6 问过一遍：

1. 智能体能调的数据有没有清单？这清单能不能做到"按字段、按客户、按时间窗口"细化？
2. 智能体做的任何"系统改动"，是"生效后再通知人"，还是"先通知人、人点了确认才生效"？
3. 智能体发的对外内容（邮件、报价、公告），是"它直接发"还是"它起草、人批后发"？
4. 智能体做的采购 / 退款 / 改价这一类"动钱"的决策，金额红线划在多少？
5. 智能体跑的日志，能不能还原"它在 X 时 X 分依据 Y 数据做了 Z 改动"？
6. 智能体所处环境跟生产环境，有没有"影子表 / 影子库"做隔离？

6 道题如果任何一道答"不清楚"或"没做"，那就先补再上。补一道上线一道，比"全功能一齐上、出了事再补"省十分之一的成本。

你企业里最近一次智能体闯的祸是什么？我挑几个典型的，评论区聊。