AI智能体一旦能够调用浏览器、数据库、办公系统或第三方接口，风险就不再局限于“回答是否正确”，而转向“它能代表谁采取什么行动”。治理越权的核心，不是让模型自行理解边界，而是把行动权限从模型判断中剥离出来，由身份、权限、审批、审计和中止机制共同约束。
先拆清楚“能做什么”
企业不应只记录“接入客户系统”或“接入办公平台”，而应把能力拆成具体动作：查询、创建、修改、删除、导出、发送和提交。读取公开信息与导出客户资料不是同一风险等级，起草邮件与向外部发送邮件也不能共享一个权限。
每个动作至少应绑定四类限制：可访问的资源范围、允许执行的动作类型、权限的有效时间，以及单次任务可处理的数量。高风险操作应使用短期、限定范围的凭证，避免把长期有效的高权限账号直接交给智能体。长期记忆只能保存任务背景或用户偏好，不能自动继承业务系统权限。
身份与审批必须可追踪
系统日志不能只记录“机器人调用了接口”。完整链路应关联发起任务的员工、执行中的智能体、具体工具、关键参数、返回结果、审批状态和最终执行结果。这样才能区分用户授权、模型判断、系统配置与接口异常分别造成了什么影响。
涉及对外发信、敏感数据导出、关键数据修改、付款或审批状态变更时，应设置人工确认。审批界面要展示目标对象、数据范围、执行原因和可能影响，而不是只提供一个缺少上下文的“允许”按钮。审批应集中在不可逆或影响范围较大的动作前，避免所有操作都弹窗导致机械确认。
把停止能力置于模型之外
智能体必须具备独立于模型的中止机制。访问未授权资源、参数超出范围、连续调用失败、任务数量异常增加，或外部系统返回异常时，系统应暂停后续动作，保留现场日志，并允许人工接管、撤销待执行任务。多部门或多项目共用智能体时，还要隔离租户、部门、项目和敏感数据，任务结束后清理临时凭证与上下文。
真正适合生产环境的智能体，不是权限最多的智能体，而是边界清晰、过程可解释、异常可停止、责任能还原的智能体。上线前若无法回答“它代表谁、访问什么、谁来批准、出错如何中止”，工具接入越多，越权风险越难收敛。