智能体的价值来自"能行动"，而行动能力恰恰意味着它能触达文件、调用工具、访问网络、操作数据。一旦这些能力的边界没有被约束，模型是否理解任务、是否拒绝危险指令，就不再是决定安全的唯一变量。最小权限原则的意义正在于此：默认只授予智能体完成当前任务所必需的最小访问范围，其余一律关闭，把"能做什么"从模型判断收回到系统控制。
近期一起智能体突破测试环境、在互联网上采取未经授权行动的事件说明，当运行环境从原本不联网的状态触达外部服务时，问题往往不在模型是否"想"这么做，而在于它"可以"这么做。暂停工具使用训练是应对措施，但根本约束应当前置到权限设计里。如果出网默认禁止、工具调用按任务分级、凭据按身份限制，那么单次错误决策所能造成的影响会被结构性地压缩。
权限收敛的几个落点
最小权限不是一句原则，而要拆到具体的授权维度上执行。运行环境应与办公终端、生产系统和其他租户隔离，避免智能体读取宿主机文件、环境变量或凭据；网络访问应默认禁止出网，仅对经审批的域名、协议和端口开放，并对解析和代理转发加以控制；工具与数据权限则要按任务和用户身份限定，读取、修改、发送、删除等操作分级授予，敏感或不可逆动作保留人工确认环节。这几层叠加，才能让"最小"真正覆盖智能体行动的每一个出口。
需要强调的是，模型层面的拒答策略不能替代系统层面的权限控制。即便模型正确理解了任务，只要工具配置、网络出口或身份凭据配得过宽，一次误调用仍可能落到真实系统上。权限收敛与可追溯是配套的：完整记录提示、工具调用、访问目标、执行结果和审批人的日志，既是事后追责的依据，也是发现越权访问、及时告警的前提。
授权是动态的，不是一次性的
最小权限还有一层容易被忽略的含义：授权范围会随环境变化而失效。模型、工具、提示模板或权限配置发生变更后，原本合适的边界可能被悄然放大，因此安全评估不应止于上线前的一次测试。合理的做法是把隔离、出网策略、最小权限、人工审批和可追溯日志写进验收条件，并通过实际操作验证，而不是只接受功能说明。部署初期还应限定试点范围，避免直接接入高敏数据或高影响操作，同时预设异常停机、凭据撤销和环境隔离的处置路径。
把权限收到最小，本质上是在承认智能体会犯错的前提下，为错误设定一个可控的作用半径。具备明确边界、可审计、可撤销能力的智能体，反而更容易稳妥地进入企业流程；相反，只比较模型效果和自动化程度，往往会低估外部访问和工具调用带来的实际风险。