给 AI 智能体设置工具权限：只读操作与人工确认

智能体原本只是帮你整理项目文件，结果却把原文件覆盖了；或者它根据一段不完整的指令，直接运行了会修改系统状态的命令。遇到这类问题，光靠提示词提醒“谨慎操作”并不够。更稳妥的做法是先把工具限制在只读范围，再按操作影响逐步开放写入或执行能力，并在关键动作前加入人工确认。

先按操作影响划分权限

不要只看工具叫什么，而要看它能造成什么后果。同一个命令行工具，既可能只列出文件，也可能删除目录；一个外部服务接口，既可能查询数据，也可能创建或发送内容。可先按操作结果分层：

分级的重点是“能力最小化”：智能体只获得完成当前任务所需的权限。例如，让它总结代码库时，可以先只允许读取指定项目目录，不必同时开放写文件、访问其他目录或联网发送数据。

只读也不等于没有风险。读取范围过大可能暴露密钥、个人信息或业务数据；读取到的文件内容也可能包含误导智能体的指令。因此，目录白名单、敏感文件排除和外部数据边界仍然重要。

按阶段开放工具能力

第一步：只读观察，不让智能体直接改动

先开放必要的查询能力，例如读取特定目录中的文件、查看任务状态或检索限定范围的数据。让智能体先说明它准备如何处理任务，并输出拟修改内容、命令或操作计划，但暂不执行有副作用的动作。

此阶段主要验证三件事：它是否能找到正确的信息，是否会把不相关内容纳入任务，以及它提出的操作是否符合预期。若只读结果已经偏离目标，不要急着开放写入权限，应先缩小任务范围或调整工具说明。

第二步：允许生成变更，但保留人工确认

当只读流程稳定后，再允许它创建草稿、补丁或待提交的变更。优先采用“先展示差异，再应用修改”的方式：人工可以检查改动范围、文件路径和具体内容，而不是只看到一句“已完成”。

确认界面或确认消息至少应说明：

• 将执行什么：例如修改哪些文件、调用哪个服务。
• 影响范围：涉及的路径、记录、收件人或数量。
• 关键内容：具体差异、待发送正文或命令参数。
• 能否撤销：如何恢复，以及是否需要备份。

确认应绑定到具体动作，而不是笼统地授权“接下来都可以改”。如果智能体在确认后更换了文件、参数、目标对象或操作范围，应重新确认。

第三步：谨慎开放执行和外部服务

对于运行命令、删除内容、发送消息、发布文章等操作，默认采取逐项授权。能拆成预览和执行两步的，就不要把两步合并成一次不可见的自动操作。批量任务则展示数量、目标范围和抽样内容；超出预设范围时暂停并重新确认。

可以用下面这个与具体框架无关的流程检查设计是否完整：

收到任务
  → 检查智能体是否有完成任务所需的最小权限
  → 只读收集信息并生成操作计划
  → 判断操作是否会写入、执行或对外生效
      → 否：继续只读处理
      → 是：展示目标、影响和具体内容，等待人工确认
  → 再次校验目标和参数
  → 执行并记录结果
  → 失败时停止后续动作，进入回退或人工处理

确认前的二次校验很有用：它能拦住计划生成后目标发生变化、文件路径不在允许范围内，或操作数量超过预期等情况。但这类流程只是降低风险，不能保证智能体判断正确，也不能替代操作系统、服务账户和外部平台本身的权限控制。

检查日志，确保出问题时能停下来

日志要能回答“谁在什么时间对什么目标做了什么，以及结果如何”。至少记录任务标识、工具名称、调用参数、目标范围、确认人或确认状态、执行结果和错误信息。日志中的密钥、令牌、密码及不必要的个人数据应脱敏；同时限制日志访问权限，并根据实际需要确定保存期限。

上线前还要验证日志能否串起完整过程：智能体提出了什么操作、用户确认了哪一版内容、工具最终执行了什么。若只能看到“操作成功”，却看不到实际目标和变更内容，出了问题就很难定位。

失败时，不要让智能体自动反复重试有副作用的操作。更稳妥的处理顺序是：

1. 遇到超时、权限错误或结果不确定时，暂停后续写入与执行。
2. 先查询实际状态，判断操作是未执行、部分完成，还是已经成功但返回失败。
3. 对可能重复创建、重复发送的操作，确认状态后再决定是否重试。
4. 有备份或版本记录时，按已验证的步骤恢复；无法可靠撤销时，交由人工处理。
5. 记录失败原因和已完成的动作，避免恢复流程再次扩大影响。

上线前验证清单

正式接入前，可以用测试目录、测试账户或模拟服务做一轮演练：

• 只读阶段能否拒绝读取允许范围之外的路径或数据？
• 智能体尝试写入、删除或发送内容时，系统是否会暂停并请求确认？
• 确认信息是否包含准确的目标、范围和内容？
• 确认后若参数或目标变化，是否要求再次确认？
• 用户拒绝、取消、超时或工具报错时，是否会停止后续动作？
• 部分成功、重复调用和结果不明确时，是否有查询状态的办法？
• 日志能否还原计划、确认和实际执行结果？
• 是否准备了备份、版本回滚或人工处置路径？

实践中可以从“指定范围内只读”开始，通过测试后再开放受限写入，最后才考虑需要确认的执行操作。把权限控制、人工复核、日志和回退机制一起设计，比单纯依赖智能体自我约束更可靠；但对于高影响操作，仍应保留独立的人工判断和外部权限防线。