不要让 AI 代理借用员工的登入帐号

政策立场

收件人： 营运负责人 决定： 不得让 AI 代理借用员工登入帐号。 控制： 为代理建立独立身分，并签发只供一项任务使用的短期授权工作证。

```text 只有代理、负责人、用途、资源、动作、到期与证据七项齐全时才允许。 否则：拒绝并转交人工处理。 ```

AAHouse 原创格式专属决策辅助图；属概念图，并非经测试的介面。

NIST 在 10 月 27 日公布代理身分管理系统的十项建议设计原则，包括独立代理识别、委派权限逐级缩减、零常驻权限、短期且可撤销的授权、人工审查触发、政策与推理分离、确定性存取决定、持续监控与不可窜改证据。NIST 也指出，现有标准与技术可能无法立即满足每一项原则；这篇文章提出系统设计方向，并不是对特定产品的认证。[1]

随着 AI 介面连接更多企业应用程式，这个设计问题已经非常实际。OpenAI 与 Oracle 在 10 月 27 日宣布，计画透过 Oracle AI Workspace 把 Oracle 应用程式与资料带入 ChatGPT，并采用统一登入、组织权限与已核准工作流程。两家公司以跨越采购、规划与月底结帐工作的财务情境为例。这项产品与任何使用量或节省时间数字，都属於厂商公告，不是针对小型企业的独立实测成果。[2]

NIST 今年 2 月的软体与 AI 代理身分概念文件说明了基本问题：代理可能取得多种资料、工具与应用程式，因此识别、授权、稽核、不可否认性与提示注入控制都需要明确设计。该文件是徵求意见的初步公开草案，不是最终实施指引。[3]

控制——把身分与权限分开

身分回答：这是哪一个代理？

权限回答：这个代理现在可以做什麽？

把两个问题分开非常重要。代理可以拥有稳定身分以便问责，但不必永久持有存取权。工作开始时，应由政策系统根据任务、请求人、环境与风险发出暂时授权，而不是让模型自己的推理决定权限。

小型企业不需要自己发明新的密码学标准，但必须拒绝三种捷径：

• 把员工密码或浏览器工作阶段交给代理；
• 在提示词、脚本或设定档中保存广泛且可重复使用的权杖；以及
• 因为代理可以读取纪录，就假设它也可以修改、寄送、核准或删除。

工作证规格——七个栏位

每一项重要任务都应有一份授权范围纪录：

• 代理身分与版本： 正在执行哪一个精确设定的代理？
• 发起者： 哪一个人、流程或已核准排程提出任务？
• 目的： 核准的业务成果是什麽？
• 资源： 哪些客户、订单、资料夹或应用程式纪录属於范围内？
• 动作： 代理可以读取、草拟、更新、寄送、核准或删除吗？
• 时间与停止条件： 授权何时到期？哪些事件会提前撤销？
• 证据目的地： 独立的行动收据会写到哪里？

这张七栏工作证是 AAHouse 的原创营运建议，把身分原则转成可审查的任务纪录；它不是引用机构承诺的产品功能。

决策范例——退款助手

假设一家小型网路零售商，希望让代理协助处理低金额退款申请。

如果采用员工登入捷径，代理会取得客服人员整个工作阶段：客户资料、订单历史、地址变更、备注、退款控制，甚至其他管理功能。

工作证模式则把范围缩小。针对一笔客户申请，政策系统授权具名代理在十分钟内：

• 读取一笔订单与物流状态；
• 根据固定退款政策比较申请内容；
• 准备退款建议；以及
• 草拟但不寄送客户回覆。

代理不能改变送货地址、查看无关客户、修改政策、核准退款，也不能在任务结束後继续存取。如果订单金额超过门槛、物流状态改变，或客户讯息包含冲突指示，授权便结束，证据交由人工处理。

这是虚构案例。十分钟窗口与任务边界仅供说明，不是通用控制或已公布的成果。

委派规则

代理可能呼叫另一项服务或子代理。这次交接永远不应扩大权限。

如果上层任务只能读取一笔订单并草拟一封回覆，下游库存查询就只应收到所需产品识别码，不应继承客户联络资料或退款控制。写作元件可以取得已核准事实来建立草稿，但不应取得能改动订单的凭证。

如此形成一条权限链：每一个下游授权都等於或小於上层授权。广泛的员工工作阶段恰好相反，可能让每个连接元件都继承超过任务所需的存取权。

执行——把政策关卡放在模型之外

代理可以提出动作、说明理由并提供证据；确定性的政策层应判断请求是否符合工作证。

例如：

• 「读取订单 482」可对照允许的纪录识别码；
• 「草拟回覆」可以与「寄送回覆」清楚区分；
• 「退款 38 美元」会被阻挡，因为工作证只允许提出建议；以及
• 到期後的请求会被拒绝，即使代理声称任务只差最後一步。

自然语言护栏仍有价值，但负责阅读不可信任客户讯息的同一个推理系统，不应能改写自己的权限。

结案——到期并保存证据

任务完成後，暂时授权应立即消失。如果发起者撤回要求、情境改变、出现风险讯号，或代理偏离范围，也应能在执行途中撤销。

证据要写入代理无法修改的位置。收据应连结代理身分、起始请求、授权内容、尝试动作、完成动作、被阻挡步骤、人工决定与最後撤销。不要把不必要的客户内容复制到日志中；稳定纪录参照与结果类别可能已经足够。

实用试行指标包括：采用独立身分的任务比例、结束时没有剩余权限的比例、被阻挡的超范围尝试、撤销时间、缺少收据事件，以及人工审查人员经常不看内容便核准的升级项目。这些是建议指标，不是已公布的成果。

员工登入代表一个人持续进行的职务；代理工作证应只代表一次有边界的委派。这项差异让连接型 AI 更容易停止、解释与信任。

AAHouse 原创分析，2026 年 10 月 28 日撰写。采用 AI 辅助写作与原创概念插画，多样化格式版本已取得人工编辑核准。案例为假设情境；未进行产品实测或完整观看相关影片。