2026年7月10日，杭州互联网法院对国内首起AI代理自动续费纠纷案作出一审判决。法院认定，服务商利用暗黑模式误导用户，需退一赔三（链接）。
案件处理的是消费纠纷，但企业更该留意背后的执行问题。当AI Agent能够替用户点击、续费和调用接口，风险已经落到每一个实际动作上：它拿到了哪些权限，执行前有没有确认，出事后能不能还原过程。
DAMO开发者矩阵在2026年7月8日发布的盘点中，将2026年称为“AI Agent落地年”。Agent开始读取文件、查询数据、调用工具，甚至操作ERP、CRM和财务系统。能力越来越像员工，权限却不能照搬员工的发放方式。
管理员账号，会让Agent一路通行
今年夏天，一家年营收50亿元的消费电子企业，为客户分群Agent绑定了带有管理员角色的Service Account。上线三天后，Agent调用CRM写入权限，试图导出一个季度的促销名单。安全工程师介入时，已经导出超过8万条客户信息。
Agent没有主观上的“故意越权”。对系统而言，它只是拿着合法凭证，沿着一条可执行的路径完成任务。隐患出在权限配置：为了避免流程中断，企业把大量与当前任务无关的能力也一并开放了。
一位金融行业CTO也遇到过类似情况。他们给Agent配置了与员工相同的RBAC角色，结果Agent在员工休假期间自动发起转账。交易最终被阈值规则拦截，但这位CTO仍感到“后背发凉”。
RBAC按角色分配权限，适合职责相对稳定的人和系统。财务访问财务模块，销售查看客户资料，管理员拥有更高权限。Agent的执行路径却会随着任务改变。一次客户分群，可能包括读取用户画像、写入标签和调用营销引擎。权限收得太紧，流程随时卡住；直接套用管理员或员工角色，又会放开大量无关操作。
老ERP为什么只敢让Agent读
“可以让Agent写周报，但绝不让它碰进销存。”不少制造业CIO的态度很直接。
在《工厂里的质检Agent，怎么跟老旧ERP系统对话》中，宁波一家转向节工厂的质检Agent上线第一天，因为无法正确理解20年前ERP的数据格式，把良品误判成次品。工厂后来增加中间件做协议转换，Agent才勉强读懂老系统，写入权限则一直没有开放。
这种谨慎并不多余。读取错误会影响判断，写入错误则可能进入库存、订单和生产流程。到了支付场景，后果还会继续扩大。杭州互联网法院审理的自动续费纠纷已经说明，Agent替用户执行操作时，提示和确认环节不能被自动化流程吞掉。
BIGAI的TongAgents进入车间三个月后，一线工人的反对意见也包括“黑盒决策”和责任归属模糊（链接）。如果Agent拿到库房系统权限并发错物料单，企业需要说清楚：模型判断错了，权限放宽了，还是审批流程根本没有拦截点？
甲子光年智库在2025年3月发布的《中国AI Agent行业研究报告（二）》提到，Agent的自主性正在让责任边界变得模糊。企业关心的不应只有任务能否完成，还包括事故发生后能否找到完整责任链。
数据跑到哪里，权限就得跟到哪里
端侧模型让权限管理又多了一层。一些旗舰手机宣传“数据不出机”，实际采用本地与云端结合的混合架构；本地模型以5至6W功耗持续运行几分钟后，还可能出现降频（链接）。
类似架构进入企业后，Agent处理的数据可能在云端、边缘设备和内部系统之间流动。核心CRM数据一旦被缓存在边缘设备，只限制云端账号已经不够。企业还要知道数据复制到了哪里、缓存保留多久、哪个工具调用过它，以及任务结束后是否清理。
模型、插件、API、中间件和边缘节点都在执行链上。只盯住Agent账号，很容易漏掉真正接触数据的环节。
临时拿权限更安全，也更难落地
一些企业开始尝试JIT即时授权。Agent不再长期持有完整凭证，每次调用API前都向授权服务申请临时权限。凭据只覆盖当前步骤，操作完成后立即失效。
它能缩小越权范围，代价是延迟和工程复杂度上升。一个任务往往包含多次读取、写入和工具调用，每一步都要判断权限、签发凭证并留下记录。遇到车间网络不稳定、边缘算力有限或老系统接口不统一，授权服务本身也可能成为新的堵点。
华为《智能世界2035》提到，企业应用还要面对车间网络、边缘算力和老系统兼容问题（链接）。底层系统如果承受不了高频授权请求，再严密的方案也可能在部署时被人为绕过。
审计日志不能只留下一串API记录
2026年下半年，多家云服务商开始提供Agent审计日志服务，记录工具调用、数据读取和权限变更。腾讯云开发者社区的《2026年Agent AI行业深度盘点：从“通用对话”到“可信生产力”的范式重构》将“可信智能体”列为企业应用的重要方向，其中就包括权限可控、操作可查。
但一串调用记录还不足以还原事故。有效的审计至少要回答：Agent接到了什么任务，为什么调用这个工具，使用了哪份凭证，读取或修改了哪些数据，哪一步经过人工确认。
如果日志里只有接口名称和调用时间，安全团队最后看到的仍是一团黑箱。
转账、退款和批量导出，别让Agent独立完成
电商大促中的AI客服已经给出过提醒。独立接待率提高后，退款、投诉等复杂问题更容易因为缺少人工介入而陷入僵局（链接）。权限设计也一样：自动执行的范围越大，高风险动作越需要明确的人工确认点。
转账、退款、批量导出客户信息、修改库存、提交代码和开放外部访问，都不适合只弹出一句笼统的“是否继续”。确认页面需要说清楚Agent准备做什么、涉及哪些数据，以及可能影响哪些业务对象。
更稳妥的组合是：静态RBAC划定基础边界，编排层根据当前任务计算所需权限，为单个步骤签发临时凭证；高风险动作交给人工确认，审计日志保存任务上下文和完整执行链。任务完成后，权限随即回收。
Agent从写周报走到操作ERP，中间隔着一整套授权和责任机制。它可以替企业干活，但不该长期拿着一张用途不限、随时有效的通行证。
