不要讓 AI 代理借用員工的登入帳號

政策立場

收件人： 營運負責人 決定： 不得讓 AI 代理借用員工登入帳號。 控制： 為代理建立獨立身分，並簽發只供一項任務使用的短期授權工作證。

```text 只有代理、負責人、用途、資源、動作、到期與證據七項齊全時才允許。 否則：拒絕並轉交人工處理。 ```

AAHouse 原創格式專屬決策輔助圖；屬概念圖，並非經測試的介面。

NIST 在 10 月 27 日公布代理身分管理系統的十項建議設計原則，包括獨立代理識別、委派權限逐級縮減、零常駐權限、短期且可撤銷的授權、人工審查觸發、政策與推理分離、確定性存取決定、持續監控與不可竄改證據。NIST 也指出，現有標準與技術可能無法立即滿足每一項原則；這篇文章提出系統設計方向，並不是對特定產品的認證。[1]

隨著 AI 介面連接更多企業應用程式，這個設計問題已經非常實際。OpenAI 與 Oracle 在 10 月 27 日宣布，計畫透過 Oracle AI Workspace 把 Oracle 應用程式與資料帶入 ChatGPT，並採用統一登入、組織權限與已核准工作流程。兩家公司以跨越採購、規劃與月底結帳工作的財務情境為例。這項產品與任何使用量或節省時間數字，都屬於廠商公告，不是針對小型企業的獨立實測成果。[2]

NIST 今年 2 月的軟件與 AI 代理身分概念文件說明了基本問題：代理可能取得多種資料、工具與應用程式，因此識別、授權、稽核、不可否認性與提示注入控制都需要明確設計。該文件是徵求意見的初步公開草案，不是最終實施指引。[3]

控制——把身分與權限分開

身分回答：這是哪一個代理？

權限回答：這個代理現在可以做什麼？

把兩個問題分開非常重要。代理可以擁有穩定身分以便問責，但不必永久持有存取權。工作開始時，應由政策系統根據任務、請求人、環境與風險發出暫時授權，而不是讓模型自己的推理決定權限。

小型企業不需要自己發明新的密碼學標準，但必須拒絕三種捷徑：

• 把員工密碼或瀏覽器工作階段交給代理；
• 在提示詞、腳本或設定檔中保存廣泛且可重複使用的權杖；以及
• 因為代理可以讀取紀錄，就假設它也可以修改、寄送、核准或刪除。

工作證規格——七個欄位

每一項重要任務都應有一份授權範圍紀錄：

• 代理身分與版本： 正在執行哪一個精確設定的代理？
• 發起者： 哪一個人、流程或已核准排程提出任務？
• 目的： 核准的業務成果是什麼？
• 資源： 哪些客戶、訂單、資料夾或應用程式紀錄屬於範圍內？
• 動作： 代理可以讀取、草擬、更新、寄送、核准或刪除嗎？
• 時間與停止條件： 授權何時到期？哪些事件會提前撤銷？
• 證據目的地： 獨立的行動收據會寫到哪裡？

這張七欄工作證是 AAHouse 的原創營運建議，把身分原則轉成可審查的任務紀錄；它不是引用機構承諾的產品功能。

決策示例——退款助手

假設一家小型網路零售商，希望讓代理協助處理低金額退款申請。

如果採用員工登入捷徑，代理會取得客服人員整個工作階段：客戶資料、訂單歷史、地址變更、備註、退款控制，甚至其他管理功能。

工作證模式則把範圍縮小。針對一筆客戶申請，政策系統授權具名代理在十分鐘內：

• 讀取一筆訂單與物流狀態；
• 根據固定退款政策比較申請內容；
• 準備退款建議；以及
• 草擬但不寄送客戶回覆。

代理不能改變送貨地址、查看無關客戶、修改政策、核准退款，也不能在任務結束後繼續存取。如果訂單金額超過門檻、物流狀態改變，或客戶訊息包含衝突指示，授權便結束，證據交由人工處理。

這是虛構案例。十分鐘窗口與任務邊界僅供說明，不是通用控制或已公布的成果。

委派規則

代理可能呼叫另一項服務或子代理。這次交接永遠不應擴大權限。

如果上層任務只能讀取一筆訂單並草擬一封回覆，下游庫存查詢就只應收到所需產品識別碼，不應繼承客戶聯絡資料或退款控制。寫作元件可以取得已核准事實來建立草稿，但不應取得能改動訂單的憑證。

如此形成一條權限鏈：每一個下游授權都等於或小於上層授權。廣泛的員工工作階段恰好相反，可能讓每個連接元件都繼承超過任務所需的存取權。

執行——把政策關卡放在模型之外

代理可以提出動作、說明理由並提供證據；確定性的政策層應判斷請求是否符合工作證。

例如：

• 「讀取訂單 482」可對照允許的紀錄識別碼；
• 「草擬回覆」可以與「寄送回覆」清楚區分；
• 「退款 38 美元」會被阻擋，因為工作證只允許提出建議；以及
• 到期後的請求會被拒絕，即使代理聲稱任務只差最後一步。

自然語言護欄仍有價值，但負責閱讀不可信任客戶訊息的同一個推理系統，不應能改寫自己的權限。

結案——到期並保存證據

任務完成後，暫時授權應立即消失。如果發起者撤回要求、情境改變、出現風險訊號，或代理偏離範圍，也應能在執行途中撤銷。

證據要寫入代理無法修改的位置。收據應連結代理身分、起始請求、授權內容、嘗試動作、完成動作、被阻擋步驟、人工決定與最後撤銷。不要把不必要的客戶內容複製到日誌中；穩定紀錄參照與結果類別可能已經足夠。

實用試行指標包括：採用獨立身分的任務比例、結束時沒有剩餘權限的比例、被阻擋的超範圍嘗試、撤銷時間、缺少收據事件，以及人工審查人員經常不看內容便核准的升級項目。這些是建議指標，不是已公布的成果。

員工登入代表一個人持續進行的職務；代理工作證應只代表一次有邊界的委派。這項差異讓連接型 AI 更容易停止、解釋與信任。

AAHouse 原創分析，2026 年 10 月 28 日撰寫。採用 AI 輔助寫作與原創概念插畫，多樣化格式版本已取得人工編輯核准。案例為假設情境；未進行產品實測或完整觀看相關影片。