简短结论：AI Agent 的工具权限应该遵循最小权限、参数校验、用户授权、人工审批和完整审计。工具不是普通函数；它们往往能读取数据、发送消息、修改记录或触发真实世界动作。
很多 Agent 风险不是模型回答错了，而是模型选择了错误工具、传入了错误参数、绕过了用户权限，或者把恶意内容当成系统指令执行。上线前必须把工具调用当成权限系统来设计。
1. 建立工具清单
列出每个工具的名称、用途、输入、输出、调用方、权限边界和副作用。把只读工具和写入工具分开，把低风险查询和高影响动作分开。
2. 缩小工具能力
不要给 Agent 一个万能 API。应提供细粒度工具，例如“查询订单状态”和“取消订单”分开，“草拟邮件”和“发送邮件”分开。
- 工具只暴露当前任务需要的字段。
- 默认只读，高风险动作单独授权。
- 避免让模型自由构造 SQL、shell 或任意 URL。
3. 校验参数和输出
所有工具输入都应进行 schema 校验、枚举约束、长度限制、类型检查和业务规则检查。OpenAI Structured Outputs 可以帮助把模型输出约束到 JSON Schema（OpenAI Structured Outputs），但服务端仍要执行授权和业务校验。
4. 执行用户和租户授权
模型不能决定用户有没有权限。工具服务端必须基于当前用户、租户、角色和资源所有权进行检查。检索、读取、写入和外发都应执行相同权限边界。
5. 高风险动作要求审批
删除数据、发起付款、发送外部邮件、修改权限、执行代码、提交工单、调用第三方系统等操作，应进入 human-in-the-loop 审批。OpenAI Agents SDK 支持工具审批模式（OpenAI Agents SDK docs）。
6. 保护密钥和凭证
不要把 API key、OAuth token、数据库密码或长期凭证写进 prompt、检索文档、日志、memory 或前端。凭证应在服务端注入，按工具和用户范围限制，并支持轮换。
7. 记录审计日志
每次工具调用都应记录 run ID、用户、租户、工具名、参数摘要、授权结果、审批结果、执行结果、错误、延迟和成本。日志需要能支撑事后复盘。
上线前检查清单
- 所有工具已分类为只读、写入、高风险。
- 每个工具有明确 schema 和参数校验。
- 服务端执行用户、租户和资源授权。
- 高风险动作需要人工审批。
- 密钥不进入 prompt、日志、检索和 memory。
- 每次工具调用都有审计日志。
- 工具权限变更会触发回归测试。
参考资料
- OpenAI: Structured Outputs
- OpenAI: Agents SDK docs
- NIST AI Risk Management Framework
- OWASP LLM Top 10
AI Agent 工具权限检查的使用方法
把AI Agent 工具权限检查清单当作一次上线前复查，而不是一次性文档。先确认页面要解决的具体问题，再检查它是否连接到相关 hub、服务页、自测工具和更深入的技术文章。这样读者能继续行动，搜索引擎也更容易理解页面在网站结构里的位置。
执行时建议记录三个结果：哪些页面已经可发现，哪些页面需要补内部链接，哪些内容还缺少证据、示例或下一步。对 AI Agent 网站来说，内容质量不只取决于发布数量，也取决于页面是否能帮助读者做出安全、成本、评估或采购决策。
AI Agent 工具权限检查复查要点
- 确认标题、摘要和开头段落都清楚说明页面主题。
- 检查页面是否至少链接到一个相关 hub 和一个后续行动页面。
- 检查内容是否包含具体步骤、风险提醒和判断标准，而不是泛泛描述。
- 发布后用 Search Console、GA4 和 Rank Math 分数一起复查，不只看单一指标。