跳到主要內容
Foxyko
AI Agent

AI Agent 權限怎麼設？給 agent 最小權限的五個原則

AI Agent 權限要怎麼設？用最小權限五步驟：獨立身分、只給任務需要的範圍、短期憑證、高風險動作由人批准、留下紀錄，附檢查提示詞。

Foxyko2 分鐘

簡短回答：AI Agent 的權限，是系統允許它讀取哪些資料、使用哪些工具、執行哪些動作。設定原則是最小權限：只給這次任務需要的範圍，優先唯讀，使用獨立身分與短期憑證，刪除、付款、對外寄送等難以還原的動作一律由人批准。

本文重點

  • 權限是系統層的限制，比在提示詞裡叮嚀「不要亂動」可靠得多。
  • OWASP 把「過度代理」（LLM06:2025）列為大型語言模型應用的風險，成因是功能、權限或自主性超出任務所需。
  • 每個 agent 用獨立身分與短期憑證，不要共用你本人的帳號或長期金鑰。
  • 刪除、付款、對外寄送這類難以挽回的動作，一律要人確認。

為什麼 AI Agent 權限比提示詞更可靠？

因為提示詞只是請求，權限才是強制限制。很多人會寫「不要刪除任何檔案」，但模型可能誤解、忽略，或被網頁與文件夾帶的惡意指示帶偏（參考AI Agent 的提示詞注入）。帳號根本沒有刪除權限，agent 想刪也刪不了。

Auth0 的資安文章也主張，授權檢查應放在工具執行的程式邏輯裡，不該由模型自己決定能不能用工具。所以設定 agent 時要把順序倒過來：先決定它最多能碰什麼，再用提示詞說明該怎麼做。

什麼是過度代理（Excessive Agency）？

過度代理是指 agent 被授予超出任務所需的權限，導致意外、有害或未經授權的行動，例如刪除客戶資料或擅自購買。Auth0 與 Okta 的文章都引用 OWASP 的這項風險；Okta 還指出，問題不在於 agent 懷有惡意，而在於權限沒有收斂時，它能做的事遠比任務需要的多。

AI Agent 權限要怎麼設？最小權限五步驟

  1. 替 agent 建立獨立身分

    不要讓 agent 直接用你本人的帳號。Okta 建議每個 agent 有獨立身分、與人的憑證分開；共用憑證會擴大出事時的影響範圍，也讓責任難以追溯。

  2. 只給這次任務需要的權限

    先問自己任務需要讀什麼、寫什麼。能唯讀就不要給寫入，能限定單一資料夾就不要開整個雲端硬碟。Okta 指出粗粒度的角色權限對 agent 往往不夠，可以改用細到單筆資料或關係層級的授權。

  3. 使用短期憑證，用完就收回

    Auth0 建議 agent 不要保存使用者的原始憑證或長期 API 金鑰，改用針對特定服務的短期存取權杖；Okta 的描述是任務開始時授予、完成時撤銷。

  4. 高風險動作交給人批准

    Auth0 舉的例子是刪除資料庫、轉帳、寄信給全公司；建議這類難以還原的動作，先請使用者在可信的裝置上核准，agent 才繼續。判斷標準是：做錯了能不能輕鬆還原。

  5. 留下可追溯的紀錄，並定期檢查

    Okta 提到要有完整的追溯鏈，把 agent 的行動與委派它的人連起來。定期檢查有沒有已經不用的 agent 或過大的權限，並關閉它們。

不同類型的動作該給什麼權限等級？

動作類型風險建議做法
讀取公開資料低可讓 agent 自行處理，但仍要留意網頁內容是否夾帶惡意指示
讀取內部或個人資料中限定在需要的資料夾或範圍，不要開放整個帳號
新增或修改內容中高先在副本或草稿上操作，確認後再套用到正式內容
刪除、付款、對外寄送高每次都要人確認，或乾脆不給這個權限

委派任務前的權限檢查提示詞怎麼寫？

不確定該開哪些權限時，可以先請 AI 協助盤點。這段提示詞只是幫你列清單，真正的限制仍要在系統設定裡做，最後的決定也要由你來做：

請 AI 協助盤點最小權限
我打算請 AI agent 協助完成這個任務：［用一句話描述任務］。請在動手之前，先回答：
  1. 完成這個任務最少需要讀取哪些資料、使用哪些工具？
  2. 哪些步驟需要寫入、修改、刪除或對外傳送？請逐項列出。
  3. 哪些步驟如果做錯，很難還原？這些步驟請先停下來等我確認。
在我確認清單之前，不要執行任何會改動資料的操作。

設定 AI Agent 權限最常見的錯誤有哪些？

  • 圖方便給了管理員權限。測試時開得很大，上線後忘了縮小，是最常見的情況。
  • 把密碼或金鑰直接貼進對話。憑證應該放在工具的授權設定裡，不要寫在提示詞或檔案內容中。
  • 授權之後就不再看。任務會變，權限也應該跟著檢視，不用的就關掉。
  • 多個 agent 共用同一組憑證。出事時無法分辨是哪個 agent 做的，也沒辦法只撤銷其中一個。

什麼時候不該讓 agent 自己執行？

當動作不可逆、涉及對外承諾，或有法律與財務責任時，比較穩妥的做法是只讓 agent 草擬，由人來執行。另外，如果工具只能給「整個帳號」這種粗權限、無法細分，也應改用副本資料或手動流程，而不是硬把大權限交出去。這是本文作者的實務建議，並非單一來源的規範。

相關文章

資料來源

常見問題

個人使用 AI agent 也需要管權限嗎？
需要。個人帳號裡通常有信件、雲端文件和付款資訊，agent 一旦誤操作或被惡意內容誘導，影響的就是你自己的資料。個人使用可以簡化流程，但「先唯讀、危險動作要確認」這兩點值得保留。
為什麼不乾脆把所有動作都設成要人批准？
這樣 agent 就失去省時間的意義，而且批准太頻繁時人容易習慣性按同意，反而降低把關效果。比較好的做法是低風險動作自動執行，只有難以還原的動作才攔下來確認。
已經給了太大的權限，現在該怎麼補救？
先暫停該 agent，改成較小的權限或另建專用帳號，再檢查這段期間的操作紀錄，確認沒有異常。若曾把密碼或金鑰貼進對話，應該立即更換。
什麼是 AI agent 的過度代理（Excessive Agency）？
指 agent 被授予超出任務所需的功能、權限或自主性，因而可能做出意外、有害或未經授權的行動，例如刪除資料或擅自購買。OWASP 把它列為大型語言模型應用的風險之一（LLM06:2025）。
agent 該用我本人的帳號還是獨立帳號？
盡量用獨立身分。Okta 的指南建議每個 agent 有獨立身分並與人的憑證分開，共用憑證會擴大影響範圍，也讓出事時分不清是誰做的。
主題標籤AI Agent權限資安最小權限

延伸閱讀