本文来自微信公众号： HavenlonLabs ，作者：Havenlon Labs
AI让"有权限"和"已执行"之间的那段距离消失了。企业软件下一场竞争，比的不是谁跑得更快，而是谁停得更准。
引子：一张没有例外的通行证
有一个流传很广的故事。
列宁前往斯莫尔尼宫开会，门口的卫兵不认识他，按规定要求出示通行证。随行的人提醒："这是列宁同志。"卫兵没有让步——没有通行证，不能进。
列宁没有责怪他，反而肯定了他的做法。
这个故事过去常被用来说明"制度高于个人"。但放到今天,它值得被重新读一遍。因为卫兵真正守住的,并不是一扇门。
他守住的是一条更根本的边界:身份不能直接兑换成执行权。
一个人的职位再高、权限再大、声望再强,也不能跳过已经设定好的执行条件。而这恰恰是今天大量企业软件、AI Agent系统和自动化平台,正在悄悄丢掉的东西。
一、摩擦,曾经是最好的安全系统
过去几十年,企业信息系统解决的核心问题,基本可以归结为身份与权限。
你是谁?属于哪个部门?拥有什么角色?是否登录?是否是管理员?是否走完了审批?
这套体系背后有一个从未被明说的假设:只要身份真实、权限有效、流程走完,接下来的操作就可以发生。
在人操作软件的年代,这个假设大体成立。不是因为它严密,而是因为它有一层免费的保护——人本身的迟缓。
一个管理员拥有删除全部账号的权限,并不意味着他会在一秒内删掉一万个。一个财务负责人拥有付款权限,也不意味着他会在无人干预的情况下,自动生成收款账户、调用银行接口、完成转账。人的时间、注意力、知识储备和手速,构成了一层天然的摩擦力。
审批要等,邮件要写,表格要填,系统要切换。每一次等待,都是一次隐性的复核机会。
过去几十年企业安全真正的支柱,从来不只是防火墙和权限矩阵,还有人类的迟钝。
现在,这层摩擦正在被系统性地清除。而清除它,恰恰是AI Agent被购买的理由。
二、AI把"有权限"压缩成了"已执行"
Agent与传统软件最大的区别,不只是它能听懂自然语言。更关键的是,它可以连续行动。
它可以读邮件、总结上下文、检索数据库、调用接口、生成参数、创建订单、修改权限、提交请求、触发审批,甚至指挥另一个Agent接着往下做。过去需要七个人、五个系统、三天时间才能走完的链条,现在可能在一句话之后自动完成。
"帮我处理这批到期合同。"——Agent检索合同、识别供应商、判断续约条件、生成付款申请、发出确认邮件、调起财务系统。
"把服务器故障处理一下。"——Agent改防火墙、重启服务、更新访问策略,甚至切换生产环境。
"优化一下云成本。"——Agent关掉闲置实例,也可能关掉一个仍在承载流量的关键节点。
这不是假想的风险。2012年8月,美国做市商骑士资本(Knight Capital)因为一次部署失误,系统在约45分钟内自动发出海量错误订单,亏掉约4.4亿美元,公司实质上被这45分钟终结。2017年2月,AWS一名获得完整授权的工程师在执行标准运维脚本时输错了一个参数,下线的服务器远超预期,导致S3大面积中断,半个互联网跟着停摆。
这两起事故里,没有黑客,没有越权,没有身份伪造。每一步都是"合法"的。
企业今天面对的问题,已经不再只是"AI会不会理解错"。真正的问题是:
AI的理解,为什么能够如此迅速地进入现实?
传统系统关心的是"谁有权发起请求"。AI时代必须追问下一句:拿到权限之后,谁有权让最终结果发生?
三、权限通胀:Agent正在成为公司里权力最大的"员工"
企业部署Agent时,最省事的做法是给它一个服务账号。
然后事情开始自然生长。读文件要一个权限,访问邮箱要一个权限,调内部系统要一个权限,创建订单、改配置、提交审批,又各要一批权限。每一次扩权都有充分理由,每一次都只是"再加一个"。
半年后,企业得到了一个极其高效、极其聪明、同时握有全公司最宽权限集合的自动执行者。
它不会请假,不会疲劳,不会在深夜犹豫,不会因为"这事有点奇怪"而多问一句。它没有入职背调,没有绩效面谈,没有离职交接,也几乎没有人定期审视过它到底能碰到什么。
企业以为自己招了一个实习生,实际上发出去的是一张董事长的门禁卡。
权限很少是被"授予"的,它是被一次又一次"再加一个就好"累积出来的。
这时,传统权限模型最危险的那个假设终于暴露:系统把"谁有权发起请求",当成了"谁有权让结果发生"。
这两件事从来不是一回事。CEO可以提出关停一条业务线的意图,但这不意味着一句话就该立刻删掉所有相关数据。管理员可以申请修改生产配置,但不意味着任何修改都应被无条件放行。
四、真正的问题不是"你是谁",而是"你要让什么发生"
即便请求来自真人、使用真实账号、走完真实审批,执行对象依然可能是错的。
收款账户可能在流程中途被替换。审批页面上的摘要,可能和最终提交的payload并不一致。合同里的供应商没错,但系统实际付款的对象已经变了。目标服务器可能被重新绑定。最终扣款金额,可能与审批时看到的数字不同。
这正是商业邮件欺诈(BEC)每年造成数十亿美元损失的机理——攻击者几乎从不去破解权限系统,他们只是让一个拥有合法权限的人,把钱付给一个错误的账户。
身份认证回答的是"这个请求是不是来自真人",它从来没有回答过"这件事是不是应该发生"。
真实的身份,完全可以发起错误的执行。
五、审批的幻觉:人在回路,不等于人在控制
面对这些风险,大多数企业的第一反应是加审批:让Agent先生成操作,再由人确认。
"Human in the loop"——听起来问题解决了。但它常常只是把风险包装得更体面。
如果审批人看到的是一段摘要,而最终执行的是另一组完整参数,这个审批只在形式上成立。如果页面显示"向供应商付款",却没有清晰列出账户、金额、币种、合同编号和付款批次,审批人同意的只是一个概念,不是一笔交易。如果审批之后,Agent仍然可以重新生成payload、替换目标对象、微调某些参数,那么审批与执行之间就裂开了一道缝。
审批人批准的是A,系统最终执行的是A′。
传统日志能证明有人点过"同意",却未必能证明他看到的内容与最终发生的结果完全一致。
日志证明了有人同意,却不一定证明他同意的,就是后来真正发生的那件事。
人在回路,只有在那个人真正看见了即将发生的东西时,才配叫回路。
这也是Agent体系里最容易被忽略的一类风险:AI未必会绕过审批,它只是让审批继续真实存在,同时让审批失去对结果的约束力。
未来的企业系统不能只记录"谁批准了",还必须能够证明:批准了什么;当时看到了什么;对象是谁;最终提交的对象是否相同;执行前是否重新做过绑定校验;执行后是否留下不可抵赖的证据。
这已经不是工作流问题,而是执行控制问题。
六、Owner悖论:系统里不应该有上帝
几乎所有企业系统都留着一个默认角色:Owner。
Owner可以改权限、重置策略、关闭限制、替换管理员、删除记录,甚至绕过部分审批。这让系统好维护,也留下一个根本性的裂缝:
如果所有规则最终都能被同一个身份改掉,那这些规则还算边界吗?
能被同一个人随手关掉的规则,不是边界,只是建议。
当Agent拿到Owner级授权,或者有能力说服Owner完成某个操作时,系统里最重要的限制会被合法地关闭。整个过程不会触发任何告警,因为它在技术上完全合规。
攻击者不需要突破系统。他只需要拿到一个足够高的身份,或者让那个足够高的身份相信,这件事很合理。
所以真正的安全边界不能完全服从单一身份。哪怕是系统所有者,也不该拥有随时取消所有底线的能力。
这不是削弱企业的控制权,恰恰相反——它意味着企业提前把"绝对不能接受的后果"固化成组织自己也无法轻易突破的约束。核武器发射需要两个人同时转动钥匙,不是因为不信任军官,而是因为这件事的后果不可撤销。
在企业里,同样的原则可以落成几条硬性规则:单一管理员不能独立转移关键资产;生产环境的安全校验不能被远程永久关闭;审批通过后的关键对象不能被重新绑定;高风险执行必须满足多个相互独立的证据来源;系统在异常状态下默认停止,而不是继续猜测。
真正的治理,不是让最高权力可以做任何事,而是让任何权力都不能轻易做错事。
七、越聪明的上层,越需要一道笨的闸门
未来几年,Agent只会越来越强:更长的上下文、更强的推理、更多的工具、更高的自主性、更复杂的多智能体协作。这是不可逆的趋势,也没有必要逆转。
但系统越聪明,最后一道边界越应该保持简单——甚至保持"笨"。
因为智能的本质是灵活,而灵活正是边界最不需要的品质。
越擅长理解上下文的系统,越容易被上下文说服。
越擅长处理例外的系统,越容易为一次危险操作找到一个听起来很合理的解释。
最后一道闸门不需要理解业务全貌,它只需要核对少数几件事:金额是否超限;目标对象是否与审批对象一致;多个授权来源是否真正独立;证据是否完整;时间窗口是否有效;设备与环境状态是否可信;关键参数在执行前是否被改动过。
这些判断不需要创造力,也不该依赖临场发挥。它们需要的是确定性、可验证性,以及不可绕过性。
就像门口那个卫兵。他不需要比列宁更懂国家大事,也不需要比参会者更了解当天议程。他只需要确认一件事:通行条件满足了没有。
这种"笨"不是能力不足,而是职责清晰。
智能负责寻找路径,边界负责决定哪些路径永远不通。
八、下一个赛道:从"管理权限"到"控制结果"
过去,企业软件主要管理过程——谁创建任务、谁提交表单、谁完成审批、谁修改记录、谁拥有角色。这套能力依然重要,但已经不足以约束自主执行的系统。
下一代核心系统必须管理结果。它要回答的是另一组问题:什么结果允许发生?什么结果永远不能发生?哪些操作必须同时满足多个独立条件?哪些对象在审批后不可替换?哪些关键参数必须由独立来源交叉确认?当信息缺失、冲突、过期或无法验证时,系统是继续执行,还是默认拒绝?
这会催生一类新的基础设施。它不替代Agent,不替代身份系统,不替代审批平台,也不替代业务系统。它站在这些系统与真实世界之间,只做一件事:在结果落地之前,独立核对一次。
在这套架构里,分工被重新定义——
AI的判断只是输入,不是最终权威。管理员的权限只是请求资格,不是无条件执行许可。审批结果只是必要证据之一,不是全部条件。而最后那一层,必须有能力独立说"不"。
对整个行业来说,这意味着竞争标准的迁移。过去十年,企业软件比的是流程跑得多快、自动化覆盖多广、人力替代率多高。下一个十年,买方会开始问一些更不客气的问题:出事的时候,你能证明什么?
过去十年企业软件比谁跑得更快,下一个十年要比谁停得更准。
AI时代最稀缺的能力,不是让系统执行,而是让系统在不该执行的时候停下来。
自动化可以拥有能力,但不应该拥有无限扩张的权力。
九、给管理者的五个问题
如果你正在把Agent接入真实业务系统,以下五个问题值得在下一次评审会上被逐条回答:
尾声:从一张通行证,到执行秩序
列宁与卫兵的故事之所以被记住,不是因为查证件这件事有多复杂,而是因为它展示了一种罕见的秩序:权力愿意接受边界,规则不因身份消失,执行者不必揣摩上级意图,系统不会把特殊身份自动兑换成特殊通道。
今天,当AI开始代替人访问系统、调用工具、生成交易、修改配置,并直接改变现实世界时,这种秩序比过去任何时候都更重要。
这不是对AI的不信任,也不是对管理权力的否定。它只是承认一组基本事实:人会犯错,AI会犯错,管理员会被欺骗,审批会被诱导,系统会出异常,身份会被盗用,上下文会被污染——而现实世界中已经发生的执行结果,往往无法撤销。
所以AI时代最重要的制度创新,可能不是赋予机器更多权力,而是重新建立权力进入现实之前必须经过的那道关口。
真正可靠的系统,不会因为门外站着的是列宁,就自动把门打开。
它尊重身份,但只服从条件。
这大概正是AI时代的企业软件,需要重新学会的一课。