Agent 权限设计的 5 条最小权限原则

一句话结论： Agent 的风险不在于"它会犯错"，而在于它犯错时手里有什么。提示注入、模型幻觉、RAG 投毒都无法 100% 防住——能设计的是：让 Agent 每一步只拿到"完成当前任务所需的最小能力"，把任何一次失陷的爆炸半径压到一次调用的范围。

背景：权限是 AI 安全里唯一完全可控的变量

一条已经成立的共识：提示注入检测可以绕过、模型可以被骗、外部内容可以投毒——输入侧防线全部是概率性的。而权限设计是确定性的：Agent 要么持有生产凭据，要么不持有；要么能删库，要么不能。过度代理的典型表现是：给 Agent 的能力和自主权超出了完成任务的实际需要。

传统系统的最小权限原则（如 NIST 对访问控制的要求）在这里全部适用，但 Agent 带来三个新变量，使经典做法不够用：

1. 行动是模型自主决定的——没有开发者逐个写死的调用点，运行时才知道要调什么；