Agent 不能直接沿用普通员工账号
普通应用通常等待用户逐步点击。Agent 可以连续调用多个工具，一次指令可能同时读取文件、修改内容并对外发送。单个动作有权限，不代表整套动作符合业务预期。员工点击错一个按钮，往往还能在下一步停下；Agent 获得一串工具后，可能在几秒内完成读取、判断和提交，管理员看到结果时操作已经发生。
沿用员工账号还有一个更现实的问题：日志只能说明这个账号做过什么，不能说明是员工本人、哪个 Agent 或哪项任务做的。员工转岗、休假或离职后，自动任务可能继续使用旧凭据运行。授权时要写清执行身份、所属任务、允许的动作，以及哪些操作必须停下来等人确认。
权限要跟着任务走
独立身份
多个 Agent 共用管理员账号或员工私钥时，管理员很难判断操作来源。每个执行主体都应单独授权、单独停用，并指定负责人。身份名称也要能看出用途和归属项目，不能只写“机器人一号”。发生异常时，值班人员才能迅速找到负责人并暂停对应任务。
项目范围
Agent 进入具体项目后，再获取相关文件、代码库和业务接口。项目结束时，管理员可按项目收回资源，不用逐个排查散落的权限。跨项目复用同一个 Agent 时，也应分别授权，避免它把甲项目的上下文带进乙项目。
动作级权限
读取、修改、删除和对外发送需要分开授权。生成修改建议的 Agent 不因此获得生产分支的合并权限；能读取客户资料的 Agent，也不应自动获得下载整库或发送外部邮件的能力。权限要围绕完成任务所需的最小动作来给。
敏感操作
生产变更、个人信息处理、大额资源消耗和外部沟通可以设置审批或人工接管。确认应发生在操作之前，事后通知无法阻止错误。审批页要把目标资源、拟执行动作和影响范围写清，不能只弹出一个笼统的“是否继续”。
凭据托管
密钥由平台或专用凭据系统保管，执行时临时提供。这样可以避免密钥出现在提示词、文件和日志里，人员离职或项目关闭后也能及时吊销。凭据需要有有效期和轮换规则，Agent 只在当前任务中获得使用权，不应读取密钥明文。
记录要能还原当时的操作
至少要记下发起人、所属项目、模型与工具、访问资源、关键动作、资源消耗、失败和重试情况。只保存模型的输入输出并不够，因为真正产生影响的往往是工具调用：它读了哪个目录、修改了哪条工单、向哪个地址发送了什么。记录还要把人工确认和人工接管接在同一条任务链上，才能还原最终结果是谁完成的。
审计不是为了把所有内容永久保存。日志也可能包含敏感数据，管理员应限制谁能查看，并设置保留期限和脱敏规则。保留期限有法定下限：《网络安全法》第二十三条要求网络运营者「留存相关的网络日志不少于六个月」，按这条定底线再按自己的合规要求往上加。查询时应能按人员、项目、Agent 和时间定位，不必让审计人员翻阅整批原始日志。其中资源消耗的归集口径见多模型用量、额度与成本的管理方式。
上线前用一项真实任务核对
权限设计不能只看后台配置页。选一项会读取企业资料、调用外部工具并产生结果的任务，从发起到结束完整跑一遍。中途故意让一个工具失败，再让人工接管，检查记录是否仍然连贯；任务结束后收回项目权限，确认同一 Agent 无法继续访问原来的文件和接口。
- Agent 没有使用共享管理员账号。
- 每个 Agent 都有负责人和停用入口。
- 读、写、删除和对外发送分开授权。
- 生产变更和外发需要人工确认。
- 密钥不出现在提示词和工作文件中。
- 失败、重试和人工接管都可查。
- 日志有脱敏规则和保留期限。
- 项目结束后可以统一收回权限与资源。
这张清单全部通过，才说明权限在真实流程里有效。若某一项只能靠口头约定或员工记得去做，它还不是可执行的控制措施。
常见问题
Agent 可以沿用员工账号或管理员账号吗？
不应该。多个 Agent 共用管理员账号或员工私钥时，管理员很难判断操作来源。每个执行主体单独授权、单独停用，并指定负责人。
哪些操作应该在执行前要求人工确认？
生产变更、个人信息处理、大额资源消耗和对外沟通。确认要发生在操作之前，事后通知无法阻止错误。
执行记录至少要留下哪些内容？
发起人、所属项目、模型与工具、访问资源、关键动作、资源消耗，以及失败和重试情况。日志本身也可能含敏感数据，要限制查看范围并设置保留期限和脱敏规则。
密钥应该放在哪里？
由平台或专用凭据系统保管，执行时临时提供，避免出现在提示词、文件和日志里。人员离职或项目关闭后也能及时吊销。