AI 员工的最小权限：数据、工具与动作三类

最小权限，指的是让 AI 员工只拿到完成本职任务所必需的数据、工具与操作动作，其余一律不给。它的难点通常不在技术实现，而在岗位边界本身是否清楚 —— 说不清一个岗位到底负责什么，就很难判断它该看到哪些数据

权限分三类

把权限笼统地当成「访问权限」，讨论会很难收敛。分成三类之后，每一类的判断标准不同，也便于分别授予与回收。

• 数据权限：能读到哪些数据、读到什么颗粒度、能否导出。
• 工具权限：能调用哪些系统接口与工具，包括查询类与写入类。
• 动作权限：能直接执行哪些变更，例如发送、提交、修改与删除。

权限矩阵怎么写

矩阵的作用是让授权变得可讨论、可复核。一行一个岗位，一列一类权限，格子里写清范围与条件，而不是简单的是或否。

• 按岗位成行：与岗位清单保持一致，避免出现矩阵里没有的岗位。
• 写清范围：例如「本部门订单」比「订单数据」明确得多。
• 注明条件：涉及敏感数据时写明触发条件，例如需要工单关联才可查看。
• 默认拒绝：矩阵里没有写到的，一律视为不可访问，而不是默认允许。

例外与审批

• 例外要留痕：谁提出、谁批准、用途是什么、有效期多久，一条都不能少。
• 限期自动失效：临时提权到期自动收回，不给「忘记撤销」留空间。
• 逐次确认敏感动作：对外发送与资金相关动作，即使权限内有，也逐次确认。
• 例外定期复核：定期统计例外数量与分布，长期存在的例外说明矩阵本身需要调整。

为什么最小权限反而更快

直觉上，权限给得越宽推进越快，实际常常相反。权限过宽时，业务方不敢把任务真正交出去，于是每个结果都要人工复核一遍，效率收益被抵消。反过来，边界清楚之后，职责范围内的动作可以放手执行，只有越界时才需要确认 —— 整体反而更快，业务方也更愿意用。

另一个常被忽略的收益是排查成本。权限清晰时，一旦出现异常访问，可能的范围是有限的，定位较快；权限宽泛时，候选范围很大，光是把范围缩小就要花掉不少时间。

几种常见的问题做法

• 超级账号起步：为了先跑通给一个全权限账号，后面再收，实际上很难收回。
• 按人授权而不是按岗位：人员一动就要重配，而且容易遗漏。
• 读权限当成写权限的前置：能看并不等于能改，两类必须分开。

验收口径

• 每个岗位的数据、工具与动作权限都能在矩阵里查到。
• 越权请求会被拒绝，且拒绝有记录。
• 临时授权有期限，到期后实际失效。
• 存在对例外授权的定期复核动作。