AI代理的最小必要权限，不是“少给几个按钮”这么简单，而是把代理能够读取的资料、能够执行的动作，以及必须暂停等待人工确认的节点，限定在完成当前任务所必需的范围内。核心判断标准不是代理是否足够聪明，而是即使它判断错误，影响也能被控制。

权限应按动作拆分

“客户服务自动化”或“财务处理”都不是合格的权限单位。一个完整流程通常包含读取资料、分类判断、生成草稿、修改记录、对外发送和执行资金操作等不同动作，它们的风险并不相同。

例如，代理可以读取客户问题、检索已审核资料并生成回复草稿，但不应因此自动获得发送邮件、修改客户记录或处理退款的权限。权限设计应遵循“完成任务需要什么，就只开放什么”，而不是按部门、账号或整套系统一次性授权。

判断某项动作是否应开放，可以同时考察四个维度：错误代价、数据敏感性、结果可逆性和客户影响。内部摘要通常容易修正；发送承诺、删除数据、修改合同或执行付款，则可能造成难以撤回的后果。动作越不可逆、涉及的数据越敏感、对客户权益影响越直接，越需要人工主导。

建立分级边界

低风险任务可以自动执行，例如资料分类、字段提取、内部摘要和草稿生成，但仍应限制输入范围，并设置异常出口。中风险任务适合“代理处理、人工批准”，人工复核时必须看见依据、判断结果、待改变的内容以及不确定信息。高风险任务则应由人工主导，代理最多负责整理事实、比较版本和生成核对清单。

真正有效的控制，不是要求代理永远正确，而是让它在无法确认时停止。缺少可靠依据、输入相互矛盾、出现退款或投诉、涉及合同承诺、请求超出授权范围，或准备执行不可逆动作时，都应自动转入人工队列，并保留原始请求、已完成步骤和异常原因。

权限不是一次配置

上线前应先盘点具体动作，再确定权限和提示词；试运行时保留人工对照，记录漏项、误判和人工修改成本。只有当结果稳定、异常可解释、撤回路径清晰时，才考虑扩大权限。

最小必要权限的最终目标，是把代理限制在“可以安全犯错”的范围内：让它承担重复整理和准备工作，把涉及承诺、资金、敏感数据与不可逆结果的决定留给真正承担责任的人。