AI 智能体的权限边界与操作审计：上线前要定的五件事

权限治理 · 更新于 2026-09-18 · 深圳市宛深投资有限公司

一句话结论：聊天机器人答错话，损失停在对话里；智能体一旦被允许执行动作，错误会落到数据和对外文件上。所以「谁能用、能碰哪些数据、做了什么、出事谁负责、人走了怎么办」这五个问题，要在上线前有答案——而且答案要写进系统，不是写进会议纪要。

一、为什么权限问题在智能体身上被放大

把它们放在一起对比，区别一目了然：

对比项	只会回答的聊天机器人	能执行动作的智能体
产出物	一段文字	文件、记录、对外内容
错误生效条件	需要有人采纳才生效	直接落库或直接对外
授权粒度	能不能使用	能不能改这份数据、能不能对外发送
追责依据	对话记录	操作记录（含账号、对象与结果）

换句话说，一旦智能体可以改变系统状态，权限设计就不再是 IT 的偏好问题，而是能不能上线的门槛。

二、上线前要定的五件事

第一件：身份与账号

一人一号，不发共享账号；采用开通制，明确谁有权批准、开给谁、给多少额度。另外至少保留两个管理员账号——只有一个管理员时，一旦这个人离职或忘记密码，成员管理会直接锁死，谁也进不去。

第二件：数据可见范围

分清华共享与个人空间：企业级口径、对外可复用的资料进共享知识库；个人工作过程材料留在个人空间。
明确「什么都不放进去」的清单：客户个人信息、未公开的商业信息、证件与合同扫描件，除非确有必要且有对应依据，否则不进入任何共享知识库。
外部与离场人员：临时协作人员、离职人员的可见范围要能单独调整，而不是跟着账号一起保留。

第三件：动作授权

只读与可写分开：能查资料，不等于能改数据。这两件事在配置上就不该是同一个开关。
高风险动作保留人工确认：对外发送、批量修改、涉及金额与承诺的操作，让智能体给建议，由人点确认。
额度按人分配：共用一个池子，出了问题说不清是谁用的，也无法按部门核算成本。

第四件：留痕与可追溯

记什么：时间、账号、操作类型、操作对象、结果。
留多久：《网络安全法》要求网络日志留存不少于六个月，企业自己的业务记录建议不短于这个期限。
谁能看：记录本身也常含个人信息，查看与导出权限同样要有范围，不能人人可导。

第五件：人员变动与退出

离职当日停用账号，而不是等交接完再停。
明确账号注销后数据的处理方式：是否删除、多久内删除、备份里的副本怎么算。
机构统一采购的额度，是否因个别成员注销而退还，提前写进规则，避免结算时扯皮。

把五件事的产出物和常见遗漏列成一张表，可以直接当验收清单用：

五件事	需要产出的东西	常见遗漏
身份与账号	账号台账、开通审批规则、至少两名管理员	只留一个管理员
数据可见范围	共享与个人的划分标准、禁入清单	没写明「什么不放进去」
动作授权	高风险动作清单与人工确认点	把要不要做交给模型自己判断
留痕	操作记录字段定义、留存期限、查看权限	记录只存在于运行内存里
人员变动	停用流程、注销与删除规则	离职后账号仍可登录

三、操作记录里应该有哪几类字段

字段	作用	容易缺的部分
时间戳（含时区）	还原操作的先后顺序	只记到天，无法还原序列
账号标识	追溯到具体的人	记成共享账号或只记设备名
操作类型	区分查询、生成与修改	全部记为「对话」，等于没记
操作对象	定位影响范围	只记文件名，不记版本或内容主体
结果	判断是否实际生效	只记发起，不记成败
来源入口	多端使用时归因	网页与桌面端混在一起无法区分

一个务实的判据：拿着这份记录，能不能回答「上周三那三条对外的内容，是谁在什么时间、通过哪个入口生成的」。答不上来，这套记录就还不算审计，只是统计。

四、四个常见做法问题

问题一：全公司共用一两个账号

看起来省了管理成本，实际上既无法按人回收权限，也让所有记录失去指向。这是最容易被忽略、也最难在事后补救的一条。

问题二：把「该不该做」交给模型判断

模型可以在提示里被要求谨慎，但它不是权限系统。权限必须由系统强制：能不能读到那份数据、能不能发出这条内容，取决于授权配置，不取决于模型的当场判断。

问题三：只统计调用次数，不留操作记录

用量统计能回答「用得多不多」，回答不了「做了什么」。对上汇报可以只用前者，事故复盘只有后者有用。

问题四：给了权限，没给撤销路径

权限只有开、没有关，人员流动时就会留下一批长期有效的历史账号，而且没人记得它们还能登录。

五、这五件事对应的合规验收项

最小必要：权限范围应与岗位职责匹配，不是「先全开，用不着再说」。
告知：会处理到个人信息的场景（例如客户资料问答），要有对应的告知与依据。
删除权：账号注销后要能删除对应数据，并说明备份副本的处理方式。
日志留存：《网络安全法》第二十一条要求网络日志留存不少于六个月。

这四条建议直接写进采购清单或部署清单，作为验收项，而不是停留在内部约定。

常见问题

智能体的操作日志至少要留多久？

监管对网络日志的要求是留存不少于六个月，企业自己的智能体使用记录建议不短于这个期限。如果记录涉及交易、对外承诺或受监管行业材料，按该行业的留存要求执行，取更长者。

员工离职后，他在智能体里产生的内容归谁？

工作过程中产生的资料属于企业，这是常规做法；但其中涉及员工个人信息的记录要按最小必要原则处理。实操上，离职当日停用账号，个人空间内容的归档或删除规则提前写进制度，比事后逐一解释便宜。

能不能给全公司共用一两个账号来省事？

不建议。共用账号会导致两条后果：出问题无法定位到具体的人，人员变动时也无法只回收某一个人的权限。省下的管理成本，通常远小于一次事故复盘查不到责任人的代价。

智能体能不能自己判断某个操作该不该做？

不能把它当权限系统。模型可以在提示层面被要求谨慎，但授权必须由系统强制：能不能读到那份数据、能不能发出这条内容，取决于授权配置，不取决于模型的当场判断。高风险的对外动作应由人工确认后执行。