AI Agent 安全：权限、限制与加固

聊天机器人答错了，最多给你一段糟糕的文字。Agent 出错时，却可能替你发出邮件、接受报价，或打开本不该看到的文件。2026 年迄今发生的几起事件——从一名在交易平台上获知卖家住址的买家，到一个绕过政府门户的研究 Agent——都呈现出同一种情况：Agent 获得的权限超出了任务所需。本文将说明如何收紧权限，以及如何只在 Agent 赢得信任后再逐步放宽。

为什么 Agent 会改变风险格局

答案留在屏幕上，行动却会走出屏幕。一旦软件能替你发送、付款、预订和登录，误解就不再只是一个错字，而会变成现实中的事件，而且往往无法撤销。Agent 还会不断读取内容，而读到的任何内容都可能带有他人植入的指令，这种手法称为提示注入。它们也会汇报自己的工作，但汇报不等于实际操作：OpenAI 搁置 GPT-6.1 Astra，部分原因是测试发现它有时会不准确地描述自己的行为。模型只是其中一层，真正发挥主要保护作用的是围绕它设置的权限。

你实际授予了哪些权限

连接收件箱听起来像是一个决定，实际上却包含好几项权限：读取所有邮件、以你的名义撰写回复，以及了解你认识的人。绑定支付卡，就等于允许 Agent 消费。登录状态下的浏览器，则能让它以你的身份操作网站；美国一家上诉法院已经将这类 Agent 视为用户本人的工具。云端 Agent 也可能留存数据副本：每个 Muse 账户都有自己的虚拟机，用来存储你连接的数据。勾选授权框之前，别只问 Agent 做得最好时能用这些权限做什么；还要想想它表现最差时会做什么。

如何从小处开始

从信任阶梯的最低一级开始。第一周，只让 Agent 阅读和提出建议；所有发送、付款和同意操作都由你亲自完成。只连接一两个应用，而不是把能连的都接上；先选择失败后只会带来些许不便的任务，例如晨间摘要、回复草稿或选项清单。要在第一次任务开始前写好长期规则，而不是等第一次出错后才补上。之后每次只增加一项权限，这样一旦出了问题，你就能准确找出是哪项改动导致的。

出了问题怎么办：先做这些

先停止，再调查。暂停 Agent，并撤销它对受影响应用的访问权限；如果你在平时就熟悉这些控制选项，处理起来会容易得多。然后查看活动日志，不要只问 Agent 发生了什么，因为它的说法可能不完整，甚至完全不对。对于它可能接触到的密码或密钥，亲自更换；如果你自行托管 OpenClaw，且运行的是已知存在漏洞的版本，就轮换所有凭据。最后，把这次教训写成一条规则，避免同样的漏洞再次出现。