最强智能体为何无法自我授权？权限分离成Agent安全新共识

当一个AI智能体（Agent）不仅能写代码、发邮件、操作浏览器，还能调用数据库、触发支付接口，甚至委派其他智能体协同工作时，安全问题的本质已发生根本转变。它不再只是“会不会说错话”，而是“一旦被带偏，能做什么”。一个持续运行的智能体可能读取内部文件、外传敏感数据、修改生产环境配置，或在数天后自动执行一条早已被遗忘的高风险指令——这使得“谁有权批准它行动”成为核心命题。

过去一年，科技巨头纷纷推出常驻型个人智能体：Meta于2026年9月发布Muse，配备专用安全虚拟机与浏览器，集成WhatsApp、邮件与日程；OpenAI上线ChatGPT内置的Dots；Claude推出Duet；GrokBot紧随其后；国内阿里千问接入淘宝、支付宝等生态，字节豆包强化多步骤任务执行，腾讯WorkBuddy聚焦办公场景。这些产品共性在于：拥有长久记忆、主动介入能力与持续闭环执行——它们不再是被动应答的聊天助手，而是以用户为主语的“赛博分身”。

然而，功能越强，风险越隐蔽。问题随之浮现：若智能体本身具备高度自主性，它能否为自己签发“行动通行证”？答案是否定的。这并非技术局限，而是系统设计原则问题。

OpenAI在其Auto-review机制中尝试了“更强模型监管较弱模型”的路径：由独立模型审查Codex等执行Agent越过沙箱边界的请求。数据显示，自动审批率达99.1%，针对合成提示注入的召回率为99.3%。但报告明确指出：这不构成确定性安全保证。监督模型仍可能被诱导，且无法覆盖执行者在权限边界内的全部行为。例如，Agent A被允许读取内部员工名单，Agent B被允许向外部邮箱发送内容——两者权限单独看均合规，但组合后即可完成数据泄露，而每一步都未触发越权警报。

这揭示了Agent安全的三层本质矛盾：

第一层是意图安全——模型是否倾向于做出危险、欺骗或越界选择；

第二层是行动授权安全——即使意图不良，系统是否允许其实际执行；

第三层是结果与社会风险——即便每步合法，最终是否造成不可接受后果。

三者不可互相替代。训练更对齐的模型不能防止其在陌生环境中失效；严格的工具权限设置无法识别“表面合法、实际危险”的组合行为；详尽的审计日志也无法挽回已泄露的数据或已签署的合同。

因此，“让AI监管AI”虽有价值，却非终极方案。2026年ICLR一项研究指出，不可信模型可将提示注入隐藏于监督模型阅读的上下文中，从而绕过依赖语言模型的控制协议。监督者并非置身事外的裁判，它同样处于攻击面内。

进一步地，“多放几个监督Agent”也未必提升安全性。多数投票机制隐含前提：错误必须独立。若多个监督模型共享相似架构、训练数据与上下文输入，它们很可能同步误判——不是“五个独立法官”，而是“五个一起看错题的人”。多Agent互检可降低偶发错误，引入不同证据源与工具链，但它无法将“可能犯错的系统”简单叠加为“绝不会犯错的系统”。安全取决于错误独立性、证据多源性与权限真实阻断能力，而非模型数量。

更关键的是，检测到风险 ≠ 阻止风险。安全指标常被混淆：检测率反映系统是否注意到可疑行为；召回率衡量已知风险样本中被识别的比例；阻断率指识别后危险动作被实际拦截的比例；而安全率才是最终标准——在真实环境中是否避免了不可接受后果。四者常脱节：监控系统可精准预警“此操作有风险”，但权限网关仍可能放行；模型可拒绝明显恶意请求，却被新型提示注入绕过；单次工具调用完全合规，十次组合却达成越权。

正因如此，行业共识正在转向：必须将授权从执行中剥离。VACA（Verified, Auditable, Controllable, Recoverable Architecture）框架提出四点核心原则：

• 可验证：权限决策需基于独立证据，而非仅依赖模型输出；
• 可审计：所有授权与执行行为留痕，且日志不可被执行者删除；
• 可收缩：高风险操作需二次确认，权限应按需动态降级；
• 可恢复：系统需支持状态回滚与紧急熔断机制。

具体实现上，需设立独立的“控制平面”，负责身份认证、权限分配、预算限制与状态追踪；执行平面仅能发起请求，无权自行签发通行证。例如，支付操作必须经由策略网关校验预算余额、收款方白名单与历史行为模式，而非由智能体直接调用接口。

人类审批亦非万能解。高频审批易导致疲劳性默认同意，反而削弱防线。人应保留对不可逆、高损害决策的最终否决权，如大规模资金划转、系统级配置变更或数据跨境传输。与此同时，跨国治理正将智能体视为须识别、授权、约束、记录与追责的行动主体，中美等主要经济体亟需建立风险沟通渠道。

值得强调的是，当前竞争逻辑已从“拼跑分”转向“拼记忆与闭环能力”：MMLU分数、上下文长度等指标退居幕后，能否持续理解用户意图、主动干预生活流程、在复杂环境中可靠执行，成为产品胜负手。但技术跃进不能掩盖安全基础的脆弱性——当智能体开始替你做决定时，它必须先被剥夺“自己给自己发通行证”的权力。

这并非对AI能力的限制，而是对其责任边界的厘清。正如物理世界中，再高级的自动驾驶汽车也不能自行解除刹车锁；数字世界里，最强的智能体也必须服从一套不依赖其自身判断的授权机制。安全不是靠堆叠智能实现的，而是通过结构化分离与可验证控制达成的。