AI Agent 最小權限怎麼做？工具授權、逐次批准與安全停止清單
AI Agent 能呼叫郵件、工單、CRM、檔案、資料庫與付款工具後，風險就不只是不正確回答。模型可能因直接或間接提示注入、工具描述歧義、逾時重試或錯誤規劃，對外部系統造成真實副作用。最小權限不是替 Agent 建一個帳號而已，而是讓每個任務只能在必要時間、對必要資源、用必要方法完成被批准的動作。
OWASP Agentic Applications Top 10 2026 將目標劫持、工具濫用、身分與權限等列為核心風險；CISA／NCSC 指南則把安全設計、開發、部署與營運串成生命週期。這些是防禦參考，不是產品安全認證。組織要以實際資料流、工具與外部狀態驗證控制。
每個工作負載使用獨立服務身分
不要讓所有 Agent 共用管理員 API key。依用途建立獨立身分，將讀取、寫入、刪除、寄送、付款與權限管理分開；採短效憑證、明確 scope、環境隔離與定期覆核。從企業 AI 控制措施資料庫查看最小權限與受管秘密控制，並把實際身分、工具及資料源登錄到AI 系統清冊。
工具白名單不只是一串名稱
每個用途要限制工具、HTTP method、目的地、資源、參數 schema、數值範圍與業務規則。使用者或模型不應能傳入完整任意 URL，也不能靠工具描述文字取得授權。工具伺服器須重新驗證呼叫者、租戶、資源與操作；輸出回到模型前也要最小化，避免搜尋或錯誤訊息洩漏敏感內容。
高影響動作用逐次、可驗證批准
寄送、公開、刪除、付款、改權限或大批寫入前，顯示實際對象、金額、內容差異、不可逆性與補償方式。批准要綁定請求 hash、單次動作與短有效期；參數變更、逾時、撤回或重放都要重新批准。模型文字、先前對話、沉默或「看起來合理」都不能當授權狀態。
先預覽，再以正式狀態驗證
能 dry-run 就先在 read-only 或沙盒產生精確 diff，讓批准者看到真正要改什麼。正式執行後直接查外部系統狀態，不以模型回覆「完成」判斷成功；回應遺失也不代表未執行。若預覽後資料已變更，重新計算差異與批准，避免 time-of-check 與 time-of-use 落差。
用冪等、狀態機與補償處理重試
為每個業務動作建立穩定冪等鍵，原子保存請求與結果；相同鍵但不同參數必須拒絕。多步驟工作流要表達待執行、進行中、部分成功、已完成、待補償與狀態未知，並保留人工接管。可在AI 事故類型資料庫查看重複副作用與部分成功模式，再把逾時、回應遺失、並發與補償失敗加入AI 測試案例庫。
設定上限、斷路器與安全停止
限制單一工作與單位時間的步數、工具次數、成本、寫入量、收件人數及錯誤重試。偵測重複狀態、錯誤率、預算或影響超限時，停止 queue、撤回工具能力並保留可接手狀態。停止不能只關閉聊天畫面；要驗證後端、排程、重試與憑證都不再產生新副作用。
用攻擊與失敗案例驗證邊界
在有權環境中測未知工具、額外欄位、任意 URL、跨租戶 ID、間接注入、舊批准重放、憑證過期、逾時與工具部分成功。逐題保存政策決策、工具參數、idempotency key、外部前後狀態與人工決定。用AI 控制缺口規劃器整理最低控制後，再由工具、IAM、業務與資安 Owner 完成實測。