企业AI Agent的权限漏洞，这篇ICML论文给出了工程解法
近年来，随着AI Agent在企业场景中的广泛应用，权限安全问题日益凸显。Agent在运行过程中往往持有一整套工具凭证，但许多任务并不需要全部权限，这种"全量权限"模式存在严重安全隐患。ICML 2026 AIWILD Workshop上发布的《Dynamic Capability Scoping for Enterprise AI Agents》一文，针对这一问题提出了创新的解决方案。
一、核心主张：最小权限的动态实现
论文的核心观点简洁而有力："一个在Agent上下文里不存在的凭证，不管推理多强、规避多聪明，都无法被滥用。"这一论断直击要害——不是Agent变坏了，而是权限设计本身没有收缩过。从安全角度而言，这是将"最小权限原则"从静态声明推进到动态执行的范式转变。
在传统Agent架构中，启动时绑定的固定凭证集构成了永久性的攻击面。无论当前任务是否需要数据库写入或API调用，这些权限始终处于可用状态。动态权限收缩则根据每个任务的真实需求，临时的启用最小必要权限集，任务完成后即释放。这种机制不仅降低了安全风险，还提升了系统的可解释性和可控性。
二、三源权限模型架构
为实现有效且灵活的权限控制，论文提出了一种三层叠加的权限管理模型：
1. 角色上限（Role-based Ceiling）
作为第一层边界，角色上限基于企业传统的IAM体系划定每个Agent实例的最大权限集合。例如，客服Agent的权限上限可能仅限于读取客户信息，而无法访问财务数据。这相当于设定了不可逾越的"天花板"。
2. 任务上下文分类器（Task Context Classifier）
这是模型的第二层智能组件，负责实时判断当前任务所需的具体权限范围。通过自然语言理解和任务语义分析，该分类器能够准确识别Agent在执行某项操作时真正需要哪些工具凭证。例如，当Agent需要"查询客户订单状态"时，分类器会判定只需要读取权限，而不需要写入或删除权限。
3. 策略组合禁止（Policy Composition Prohibitions）
作为第三层防御，策略组合禁止防止危险的权限组合。即使单个权限都在允许范围内，某些权限的组合也可能导致违规操作。例如，同时拥有"导出数据"和"外部发送邮件"权限可能构成数据泄露风险。该层通过预定义的策略规则来识别并阻止此类危险组合。
三层模型协同工作，每次Agent调用工具前都会进行完整的权限裁决，确保只在严格定义的范围内使用必要的权限。
三、两种部署模式：观察与强制执行
论文设计了两种灵活的部署模式，以适应不同成熟度的安全需求：
-
强制模式（Enforcement Mode）：直接拦截越权请求，是最严格的安全策略，适合高风险场景或对安全性要求极高的环境。
-
观察模式（Observe-only Mode）：只记录越权请求但不拦截，让Agent保持功能完整的同时收集实际使用数据。这对于尚未完全信任系统或希望先了解Agent行为的企业特别有价值。
观察模式提供了一个非常实用的中间态：先了解Agent在真实任务中到底想访问哪些权限，再用数据说话来决定安全策略的收紧程度。这与企业通常循序渐进改进安全流程的方式相契合。
四、合成数据集与迭代优化
为了使权限策略制定更加科学有效，论文团队构建了一个包含600条企业任务Prompt的合成数据集，覆盖多个部门的政策，标注了15类工具权限。该数据集的独特价值在于其两阶段生成管道：先独立生成Prompt，再独立标注权限，避免了循环论证问题，保证了数据的客观性和可靠性。
值得注意的是，团队还进行了人工校验：60条记录共生成了688个决策，Cohen's κ一致性系数达到了0.917至0.967的水平，表明标注质量非常高。
更关键的是，基于这个合成数据集与权限策略的反复迭代，权限超出上限的次数（ceiling violations）从46次降到了仅3次，降幅高达93%。这一结果有力地证明了：利用合成数据来反推政策盲区，比单独制定策略要有效得多。这种方法允许企业在不依赖真实敏感数据的情况下，完善和优化权限策略。
五、实践建议与挑战
虽然论文的方向完全正确，但在实际落地中仍需注意以下几点：
-
持续维护任务上下文分类器：该组件需要不断适应新的业务场景和权限需求，企业应建立定期更新机制。
-
政策设计与现有IAM体系的对接：如何将论文的三源权限模型与企业现有的身份和访问管理体系无缝集成，是实施中的关键挑战，需要额外的工程设计工作。
-
逐步过渡策略：对于大多数企业，建议先从观察模式开始，收集一段时间的数据后再评估是否转入强制模式，以降低转型风险。
-
权限粒度平衡：权限设置既不能过于宽松（失去保护意义），也不能过于频繁切换（影响Agent效率），需要找到合适的平衡点。
六、结语
《Dynamic Capability Scoping for Enterprise AI Agents》提出的方法从根本上改变了Agent权限管理的思维模式——从静态的、宽泛的权限分配转向动态的、按需的最小权限实践。正如作者所言："一把不在身上的钥匙，确实丢不了。"通过把权限限制在Agent真正需要的范围内，企业可以在享受Agent带来的效率提升的同时，将安全风险降至最低。
对于那些正在构建企业级Agent系统或曾经因权限问题遭遇过损失的组织来说，这篇论文提供的方案不仅具有理论价值，更有直接的实践参考意义。特别是observe-only模式的引入，为那些希望在安全与创新之间寻找平衡点的组织提供了切实可行的起点。