AI代理的授权等级，不应由“它能完成什么”决定，而应由“出错后谁承担后果”决定。同一个代理，读取资料、生成草稿、修改客户数据、发起付款，虽然都可能表现为自动化任务，但风险并不在同一层级。真正稳健的设计，是把建议权、执行权和最终责任分开，并根据错误是否可发现、可撤销、是否影响外部关系来分配权限。

四级授权的核心差异

一级授权：只提供建议。代理只能读取指定资料、整理信息、生成摘要或提出行动建议，不能修改业务数据，也不能向外发送内容。这一层适合测试流程，重点是观察代理是否理解任务边界。资料搜集的结果还应区分已确认信息、依据不足的推测，以及需要人工核实的问题。

二级授权：人工批准后执行。代理可以生成邮件草稿、提出客户信息修改方案，或准备订单处理内容，但真正执行前必须由负责人确认。人工审核不应停留在“看起来没问题”，而要重点检查事实、数字、敏感信息、价格、交付时间及其他可能形成外部承诺的内容。对于一人公司，这是最实用的默认等级。

三级授权：满足条件时自动执行。代理只有在场景、对象、数据范围和操作类型均符合预设条件时才能行动。例如，只处理已经确认的信息，只使用固定内容，只更新非关键字段；一旦出现投诉、退款、合同、赔偿、身份无法确认或客户持续质疑，就自动转人工。这里的重点不是让代理自由判断，而是把可自动化范围写成清晰边界。

四级授权：在明确边界内自主运行。代理可以连续完成多个步骤，但仍受到权限、数据范围、金额、时间和异常回退机制限制。只有经过日志复盘、人工抽查，并确认错误能够及时发现和恢复，才适合逐步扩大授权。四级并不等于无限自主，更不代表可以签约、付款、下单或接受赔偿责任。

授权设计不能缺少刹车

权限应遵循最小化原则：能只读，就不要修改；能修改草稿，就不要直接发布；能提出订单变更，就不要直接改变经营数据。涉及客户资料、财务记录、合同关系或外部承诺时，应保留审批点，并记录代理读取了什么、提出了什么、谁批准了执行，以及执行前后的差异。

每项自动化流程还要预先定义异常条件、提醒对象和暂停方式。连续无法确认身份、输出超出资料范围，或数据出现异常变化时，代理应停止操作并交还人工。若没有日志、审批和恢复机制，即使代理表现稳定，也不宜提升授权等级。

四级模型的价值，不是把AI代理分成“聪明”或“不聪明”，而是把经营责任映射到具体动作。先让代理处理边界清楚、结果可检查的工作，再逐步开放权限，才能让自动化减少重复劳动，而不是把不可逆的风险隐藏在一次点击之后。