连接 CRM、邮件或文档的智能体，可能改变业务数据而不只是回答问题。权限应围绕具体任务发放。“小心操作”的指令不能代替技术限制。
从最小权限、独立集成账号和重要动作审批开始，在工具与数据访问层执行边界。
区分读取与写入
订单状态助手可能只需读取，写作助手可以仅创建草稿而不能发送。这些边界比赋予全部权限再要求避免危险功能更容易验证。
使用独立集成账号，仅允许相关记录与操作。共享员工管理员密码会使监控和撤销权限更困难。
理解提示注入
提示注入是通过不可信消息、文件或网页影响模型行为的尝试。例如，文件可能要求把内部数据发到陌生地址。
外部文字应作为数据而非授权处理。独立验证工具参数、允许的收件人和权限，过滤器与指令都不能提供绝对防护。
何时需要批准
外部消息、删除记录、财务修改和其他重要动作适合人工审批。员工应看到具体操作、涉及数据和接收者。
没有细节的批准按钮无法形成有效监督。初次试点应尽可能采用安全的草稿模式。
有意识地处理信息
明确模型需要哪些信息及处理地点，避免秘密进入指令和日志，减少个人数据复制，并按司法辖区和流程约定保留期限。
检查供应商条款、访问与删除设置。知名模型或云服务不会自动满足客户全部要求。
准备上线与停用
确认可以及时撤销访问、替换密钥和停止流程。动作历史应说明谁修改了什么，停用时要有人工流程。
测试可疑文档与超出任务的请求，同时改进权限、工具验证与指令文字。
支持代理的权限表
列资源、允许动作、记录范围和审批要求。阅读服务介绍不需要全部 CRM 或付款权限。
示例可允许限定读取和草稿、发送初期审批、禁止删除。权限应在工具中执行；用独立服务账号方便撤销和区分操作。
文档不能授予权限
外部消息可能要求泄露信息或忽略规则，应当作数据而非授权。能力限制必须在模型以外落实。
分开检索内容与指令，验证调用，禁止任意访问。测试诱导文档并检查动作尝试；持续观察，多层控制不能被一次安全回答替代。
约定数据处理
明确各服务收到什么、存储位置、访问及保留时间，仅发送任务必要且允许的信息，也注意日志泄露。
检索和动作前执行用户权限，不能先给内部文档再希望代理不引用。按国家、合同和信息类型评估，不能声称全球通用合规。
准备事件处理
提供停止、撤销密钥和人工替代，指定负责人及首先关闭的组件。
限制历史访问，修复后检查错误修改、重复消息和过宽权限，再恢复。禁止动作要与有用功能同样认真测试，企业保留关键决策控制。
检查清单
- 为集成提供独立最小权限。
- 分离草稿、批准和执行。
- 验证不可信输入和工具参数。
- 准备撤权、操作日志和人工处理。
