智能体的权限，加上去谁收回来

公司里第一个智能体（能自己判断下一步、动手调工具去干活的程序，下面都这么叫它）上线那天，权限是给一次就完事。

后面每一次「它这单办不成」，都变成给它多开一项。

半年后再看，它已经能读客户表、能下单、能改收货地址，当初批权限的人已经换了岗位。

一、先量一个数：机器身份比人多到多少

国际数据公司 IDC 在 2026 年 1 月发布的那份报告给了一个增长算法：全球活跃智能体从 2025 年约 2860 万个，涨到 2030 年的 22.16 亿个，五年接近 80 倍，年复合增长 139%。

同一批机构在算力报告里给的近档更高：2026 年的活跃智能体估到 7940 万个。任务量涨得比台数快，年执行次数从 2025 年的 440 亿次要走到 2030 年的 415 万亿次。

落到一家公司身上是什么比例，各家安全厂商给的读数差别很大。被公开引用较多的一枚是：智能体数量约为用户数的 75 倍。另一家身份管理平台调研说，在用智能体的组织占到 91%，自称把管理策略做成熟的只有 10%。

先别急着对号。你司不一定到 75 倍，要量的是一件更简单的事：智能体用的身份数，和员工开的身份数，现在谁大。

二、权限为什么只加不减

第一个现场是验收。演示那一单跑通了，换一单真实的就卡住，报的是「没有那张表的读权限」。

第二个现场是接入。接第二个业务系统时，谁都不愿意再走一遍审批，就把第一个系统的身份拿来复用。

第三个现场是补漏。月底跑批出错，运维为了不再半夜起来，把只读改成了读写。

三次都有理由，三次都省掉了重新审批那一步。加的那一下有人签字，往回收的那一下从来没人提起。

它不像人的岗位会调动，调岗那天权限自然要重配；也不像老式服务账号，权限写死在部署脚本里，改动会留下版本记录。智能体的权限是配在后台界面上的，改完就生效，没人再看第二遍。

三、服务账号那一套，接不住会自己决定的程序

十年前给程序发身份很省事。夜里的备份脚本要 root 就跑 root，一个账号跑十年，密码换了也没人登记，责任人是「运维组」。

做身份安全的厂商 RSA 在今年十一月的产品发布里把这件事挑明：智能体是身份，不是服务账号。它自己决定调哪个工具、传什么参数，权限一路往上累积，而且通常找不到一个明确的责任人。

他们给客户的第一条建议是先做一次盘点。有一家明令禁止使用智能体的银行，把自己的环境扫了一遍，出来 4000 多个正在跑的智能体。

风险不是抽象的。Netwrix 在 2026 年那份数据与身份安全报告里给了对照：身份数量被 AI 明显推高的组织，一年里出过数据泄露的占 43%，没怎么扩的只 11%；把服务账号与智能体这类机器身份彻底管住的组织只有 19%。

四、一个智能体一个工号

工号说的是给它单独登记一个身份，跟人的账号分开，也跟别的程序分开。

标准只看三件事：出了问题能不能指名道姓；能不能只停它这一个；能不能只收回它这一份权限。共用一个服务账号时，三件事一件都做不到。

微软那套叫 Entra Agent ID 的登记办法把身份分成几类对象。值得抄的不是那款产品，是它那一层区分：动手干活的、被别人调用的、替某个人办事的，不是一种东西，也就不能给同一种权限。

权限按它这一单要做的事给，别按它将来可能要做的事给。这一句听起来像废话，落到配置上就是：只给它这一单要用的那两张表，不给整个库。

五、替谁办的，要写进那条记录

最常见也最省事的做法，是把某位员工用的那串进门凭证（登录后发的一次性凭证，过期就得换，行内叫令牌）填进智能体的配置里。

省事的地方是权限不用重配。代价在日志里：那条动作挂的是那位员工的名字，出了事查下去，找不到是哪一台程序干的，也说不清它当时被允许做什么。

委托要能追回去，至少要留三样：这一单是谁让它办的、给它的范围到哪、办到哪一步为止。这三样要写在那次调用自己的记录里，不是写在聊天记录里。

「谁按得下停止键」那一篇讲过停下来的那一层。这一篇管的是它凭什么能动手：停得下来，前提是它用的身份是单独的，否则你停的是一个共享账号，会把三个部门一起停掉。

六、凭证别让它带走

长期凭证一旦进到智能体的配置文件，下一步一定会扩散：被复制进日志、贴进工单、留在演示环境那份镜像里。

api 网关厂商 Kong 在十月发布的那套做法是把下游系统的凭证集中存好，智能体要用的时候现取现用，自己手里不留那串字符。它对外说的那句话很直白：能访问，但不持有。

同一件事的架构版说法出自《计算机》月刊十月末那篇讲企业智能体控制平面的文章。他们的写法是：由公共那一层解析身份、签发范围受限的短期凭证，编排器只从已经注册过的工具里挑，调用走企业自己的接口，而不是把长期凭证交到智能体手上。

两家的说法不一样，做的是同一件工程活：把那串能开门的字符从智能体手里拿走，让它每次当场领一份够用的。

七、在哪一道门口拦

提示词里写「你不许查工资表」拦不住。这一句能不能生效，取决于服务端认不认，「第一道关不是模型，是权限」那一篇已经把这一层写过，这里不再重复。

厂商给的位置更直接：真正的把关发生在每一次工具调用的那一下，当场决定允许、拒绝，还是转给一个人办。

要在所有调用都经过的那道门口统一办事，这个组件行内叫网关。把它当成一道闸，而不是当成一份配置说明：闸过不过，由它说了算，不由被调用的那一头自己判。

便宜的自检只有一句：把一个它不该碰的库指给它，看它是自己发现不能碰，还是照办。

注册要有清单，清单要能读回来。半年后接手的人问「这台程序能调哪些接口」，答案得从系统里取，不能从某个人的记忆里取。

八、上岗前先查一遍

国内安全厂商给出的说法是把智能体当员工管：上岗前先做一次背景评估，把安全检查和权限匹配一起过，再用一个虚拟的工位把它的权限圈在最小范围里。

行业会议 CNCC 2026 上摆出来的案例说的是另一头：模型在题目上能答到接近满分，放进真实任务，做对的只剩六成。会做题和管得住是两件事，这一句对权限同样成立。

背景评估问四样就够：它能看到哪些数据；它能改动哪些；它出错时算谁的；上一版跑出来过什么。

这四样要有纸、有人签字、有日期。没有日期的那次评估，半年后没人能证明它在权限放开之前做过。

九、权限要带一个到期日

人的账号有离职那天，服务账号没有，智能体的账号通常也没有。

给它设一个到期日，不是删掉它，是让它停在一个待确认的状态：到期那天活还在不在？要续，人就再签一次。

续的时候别照抄上一档。看它过去三十天真正用过哪几项权限，没碰过的收回，这是最省事的减权限时机。

这一条不需要新系统。一张清单加两列，负责的人和到期日，就能起步。

十、下线那一周，回收最容易漏

自动发身份一天能出几万个，发证这一头没人担心。担心的是回收。

回收要过的清单不止那串凭证。它在别的系统里注册过的回调地址还挂着；那份密钥的副本还躺在配置中心；它以某人的名义签出去的授权还没撤；日志里它的名字三个月后就查不到了。

演示是最大的一条尾巴。给领导看过的那台演示机，往往还带着生产库的只读权限，项目结束没人记得去撤。

回收也要留字。撤了哪一项、谁撤的、哪一天撤的，这份记录是下一次评估的起点。

十一、这一个月在发生什么

RSA 那套智能体身份产品里，盘点与加固两块在 2026 年 11 月 16 日全面可用，管策略那一块排在 2027 年上半年。

《计算机》月刊十月末那篇文章把缺的东西点名了：智能体已经提供执行力，缺的是把身份、上下文、授权、成本和变更管在一起的公共那一层。

国内这一侧，数量估算和管控要求在同一个月里一起出现。IDC 那两份报告在推规模，监管那一条线在讲规范应用。

厂商把智能体身份单独立成一条产品线，说明这类需求已经大到值得单独做一款软件。企业这头的选择不是买不买，是先把自己的清单排出来。

十二、问平台的五句话

第一句：你们的智能体身份是单独登记，还是共用一个服务账号？

第二句：权限能不能收到单个智能体，能不能设到期日？

第三句：一次调用能不能当场拒掉，拒了以后在哪里留字？

第四句：它用的下游凭证存在哪，能不能做到不进它的配置文件？

第五句：它下线以后，它在别处注册过的回调谁来清？

这五句要写进采购评估那份表里，跟价格、并发数、模型名一起打分。「不按人头按次数」那一篇讲过采购前要问哪几句，这里是同一张表的另一列。

十三、上线前那四道自检

第一道，给一个它不该碰的库，看它会不会自己去碰。会碰说明把关在被调用那一头，不在闸口。

第二道，停掉它的身份，业务是不是照跑。照跑说明还有共享账号在暗处，你停的那个身份不是它真正在用的。

第三道，把三个月前的一次调用重放出来，看能不能指名是谁授权、它当时能做什么。指名指不到人，记录就只是流水。

第四道，随机挑十个机器身份，问得出主人和用途的有几个。这个比例是这件事现在的真实水位，比任何方案文档都准。

十四、今天能做的三件事

先数一遍。环境里到底跑着多少个能自己动手的程序，一个个排成清单，包括那些从没人申报过的。

再补两列。给清单上每一个填上负责的人和到期日，填不出人名的那几行，就是下一次出事的地方。

最后挑一个口子。选它最常调的那个下游系统，把长期凭证换成现取现用。这一件做完，剩下的是时间问题。

十五、跟那篇讲名单的分的是什么

「谁能进你的系统，这份名单谁签过字」那一篇盘的是整张名单：有什么、谁批的、机器账号为什么不会到期、离职的人为什么还在名单上。

这一篇只管一条来回路：一个智能体的权限从放开到收回，中间谁在哪一步做什么，以及哪一步最容易没人做。

两篇共用一张清单。名单那一篇负责把它列全，这一篇负责让它在三个月之后还站得住。