AI WORKFLOW NOTES
企业 AI 代理可以操作哪些工具？按任务拆开权限
给企业 AI 接工具时，先列清它为了完成哪项任务必须做什么，再按任务给权限。把“读取资料”“生成草稿”“写入系统”和“向外发送”混成一个笼统的“执行”开关，很难判断出错时影响范围。权限应由实际业务系统和授权规则落实，不能只靠提示词要求模型“不要做某事”。
先按任务拆分工具动作
给企业 AI 接工具时，先列清它为了完成哪项任务必须做什么，再按任务给权限。把“读取资料”“生成草稿”“写入系统”和“向外发送”混成一个笼统的“执行”开关，很难判断出错时影响范围。权限应由实际业务系统和授权规则落实，不能只靠提示词要求模型“不要做某事”。
可先为单项任务列出动作表：允许查看哪些资料，能否新建草稿，是否能修改正式记录，能否删除、发送或触发不可逆操作。然后逐项问：若不提供该动作，任务是否仍能完成？如果可以，就不要因为工具默认打包提供而一并开放。比如只需检索产品信息的任务，不应顺带获得修改客户记录的功能。
让身份和权限由业务系统验证
再区分系统权限和用户权限。某位员工能看到的资料，不等于所有使用该 AI 的员工都能看到。接入工具时，应核对请求实际以谁的身份执行、下游是否按同一用户权限检查，以及离职、转岗或权限撤销后是否能生效。若系统只能使用一个拥有广泛权限的共享身份，先由负责方评估能否缩小范围；不能证明访问范围时，就不适合直接承载敏感任务。
OWASP 在 LLM06:2025 将过度代理能力拆为功能、权限和自主程度等问题，并建议限制代理可以调用的扩展和下游权限，对高影响动作加入人工批准。本文将其转成实施检查：每个工具只暴露完成任务必要的动作；权限由下游系统校验；写入、删除、发送等动作单独设确认关卡。具体做法要由所用系统的权限模型和组织审批规则决定。
演练越权请求与拒绝处理
最后做一次“身份与动作”桌面演练。用不同权限的测试账号分别尝试正常和超范围请求，观察工具和下游系统是否拒绝不允许的操作；再检查拒绝是否留下可供负责人定位的状态。只在模型回答中出现“已拒绝”并不够，需要确认下游没有执行。使用测试账号和数据前，仍要走企业既有授权流程。
可以将任务、工具、身份、可用动作、禁止动作、审批人、拒绝后的处理和复核日期放在一张表里。业务范围改变、接入新工具或角色权限变化时，再复核对应行。若权限边界无法由系统稳定落实，就先缩小任务到只读、草稿或人工执行的阶段。
常见问题
AI 代理是否应该直接获得整个业务系统的读写权限？
不应仅因技术上可用就开放全量权限。先按具体任务列出必要工具和动作，限制身份、对象和范围，并为高影响动作设置人工确认。
工具调用失败时可以自动重试吗？
先按工具接口的实际语义判断结果是否可确认、请求是否可安全重试。若结果未知或动作可能重复，应先查状态或转人工处理。