智能体组合工具越权，核心风险不在某个工具权限过大，而在多个看似低风险的工具被连续编排后，形成了单一工具本不具备的高风险能力。判断权限安全，不能只问“每个工具能做什么”，还要问“智能体能否把它们组合成什么结果”。
第一道防线是把权限校验放在工具网关，而不是交给模型自行判断。每次调用都应独立核验身份、资源范围、操作类型和业务上下文，不能因为前一步调用已经通过，就默认后续调用可信。外部数据进入内部系统时，也要重新确认访问域，避免把外部来源携带的身份或权限信息直接传递给下游工具。
权限设计应同时限制“单项能力”和“组合路径”。只读查询、数据转换、写入修改等能力应尽量分离；涉及敏感数据、批量操作或跨系统写入的链路，应设置人工确认、审批或二次校验。对于可能产生越权效果的工具组合，网关需要识别调用链，而不是只检查单次参数。尤其要防止智能体先读取数据，再借助另一个工具绕过原有的访问边界完成修改或外发。
可中断性是另一项关键控制。多步骤任务必须支持暂停、撤销和动态收权，不能让智能体在权限已被收回后继续使用已获得的上下文或执行资格。高风险操作应设置明确的终止条件：身份变化、资源范围变化、外部数据注入、参数异常或连续失败，都应触发重新授权，而不是自动重试。
审计日志必须覆盖完整链路，包括任务目标、每次工具调用、参数、权限判定、返回结果、失败原因和最终动作。仅记录模型输出，无法解释越权究竟发生在决策、授权还是工具执行环节。测试时也不应只验证正常流程，而要专门构造低权限工具的组合场景，检查是否出现跨租户访问、敏感数据出域或未经确认的写入。
生产部署宜从零决策权限、只读工具和短链路任务开始。只有当组合调用具备独立授权、全程可审计、随时可中断，且失败后不会扩大影响，智能体才适合逐步获得更高执行权限。大小规律上，权限边界应先于自动化收益确定：凡是无法明确说明“不能做什么”的工具，都不应直接交给自主编排。