AI 讓 " 有權(quán)限 " 和 " 已執(zhí)行 " 之間的那段距離消失了。企業(yè)軟件下一場(chǎng)競(jìng)爭(zhēng)，比的不是誰跑得更快，而是誰停得更準(zhǔn)。

引子：一張沒有例外的通行證

有一個(gè)流傳很廣的故事。

列寧前往斯莫爾尼宮開會(huì)，門口的衛(wèi)兵不認(rèn)識(shí)他，按規(guī)定要求出示通行證。隨行的人提醒：" 這是列寧同志。" 衛(wèi)兵沒有讓步——沒有通行證，不能進(jìn)。

列寧沒有責(zé)怪他，反而肯定了他的做法。

這個(gè)故事過去常被用來說明 " 制度高于個(gè)人 "。但放到今天 , 它值得被重新讀一遍。因?yàn)樾l(wèi)兵真正守住的 , 并不是一扇門。

他守住的是一條更根本的邊界 : 身份不能直接兌換成執(zhí)行權(quán)。

一個(gè)人的職位再高、權(quán)限再大、聲望再?gòu)?qiáng) , 也不能跳過已經(jīng)設(shè)定好的執(zhí)行條件。而這恰恰是今天大量企業(yè)軟件、AI Agent 系統(tǒng)和自動(dòng)化平臺(tái) , 正在悄悄丟掉的東西。

一、摩擦 , 曾經(jīng)是最好的安全系統(tǒng)

過去幾十年 , 企業(yè)信息系統(tǒng)解決的核心問題 , 基本可以歸結(jié)為身份與權(quán)限。

你是誰 ? 屬于哪個(gè)部門 ? 擁有什么角色 ? 是否登錄 ? 是否是管理員 ? 是否走完了審批 ?

這套體系背后有一個(gè)從未被明說的假設(shè) : 只要身份真實(shí)、權(quán)限有效、流程走完 , 接下來的操作就可以發(fā)生。

在人操作軟件的年代 , 這個(gè)假設(shè)大體成立。不是因?yàn)樗鼑?yán)密 , 而是因?yàn)樗幸粚用赓M(fèi)的保護(hù)——人本身的遲緩。

一個(gè)管理員擁有刪除全部賬號(hào)的權(quán)限 , 并不意味著他會(huì)在一秒內(nèi)刪掉一萬個(gè)。一個(gè)財(cái)務(wù)負(fù)責(zé)人擁有付款權(quán)限 , 也不意味著他會(huì)在無人干預(yù)的情況下 , 自動(dòng)生成收款賬戶、調(diào)用銀行接口、完成轉(zhuǎn)賬。人的時(shí)間、注意力、知識(shí)儲(chǔ)備和手速 , 構(gòu)成了一層天然的摩擦力。

審批要等 , 郵件要寫 , 表格要填 , 系統(tǒng)要切換。每一次等待 , 都是一次隱性的復(fù)核機(jī)會(huì)。

過去幾十年企業(yè)安全真正的支柱 , 從來不只是防火墻和權(quán)限矩陣 , 還有人類的遲鈍。

現(xiàn)在 , 這層摩擦正在被系統(tǒng)性地清除。而清除它 , 恰恰是 AI Agent 被購(gòu)買的理由。

二、AI 把 " 有權(quán)限 " 壓縮成了 " 已執(zhí)行 "

Agent 與傳統(tǒng)軟件最大的區(qū)別 , 不只是它能聽懂自然語言。更關(guān)鍵的是 , 它可以連續(xù)行動(dòng)。

它可以讀郵件、總結(jié)上下文、檢索數(shù)據(jù)庫、調(diào)用接口、生成參數(shù)、創(chuàng)建訂單、修改權(quán)限、提交請(qǐng)求、觸發(fā)審批 , 甚至指揮另一個(gè) Agent 接著往下做。過去需要七個(gè)人、五個(gè)系統(tǒng)、三天時(shí)間才能走完的鏈條 , 現(xiàn)在可能在一句話之后自動(dòng)完成。

" 幫我處理這批到期合同。" —— Agent 檢索合同、識(shí)別供應(yīng)商、判斷續(xù)約條件、生成付款申請(qǐng)、發(fā)出確認(rèn)郵件、調(diào)起財(cái)務(wù)系統(tǒng)。

" 把服務(wù)器故障處理一下。" —— Agent 改防火墻、重啟服務(wù)、更新訪問策略 , 甚至切換生產(chǎn)環(huán)境。

" 優(yōu)化一下云成本。" —— Agent 關(guān)掉閑置實(shí)例 , 也可能關(guān)掉一個(gè)仍在承載流量的關(guān)鍵節(jié)點(diǎn)。

這不是假想的風(fēng)險(xiǎn)。2012 年 8 月 , 美國(guó)做市商騎士資本 ( Knight Capital ) 因?yàn)橐淮尾渴鹗д` , 系統(tǒng)在約 45 分鐘內(nèi)自動(dòng)發(fā)出海量錯(cuò)誤訂單 , 虧掉約 4.4 億美元 , 公司實(shí)質(zhì)上被這 45 分鐘終結(jié)。2017 年 2 月 ,AWS 一名獲得完整授權(quán)的工程師在執(zhí)行標(biāo)準(zhǔn)運(yùn)維腳本時(shí)輸錯(cuò)了一個(gè)參數(shù) , 下線的服務(wù)器遠(yuǎn)超預(yù)期 , 導(dǎo)致 S3 大面積中斷 , 半個(gè)互聯(lián)網(wǎng)跟著停擺。

這兩起事故里 , 沒有黑客 , 沒有越權(quán) , 沒有身份偽造。每一步都是 " 合法 " 的。

企業(yè)今天面對(duì)的問題 , 已經(jīng)不再只是 "AI 會(huì)不會(huì)理解錯(cuò) "。真正的問題是 :

AI 的理解 , 為什么能夠如此迅速地進(jìn)入現(xiàn)實(shí) ?

傳統(tǒng)系統(tǒng)關(guān)心的是 " 誰有權(quán)發(fā)起請(qǐng)求 "。AI 時(shí)代必須追問下一句 : 拿到權(quán)限之后 , 誰有權(quán)讓最終結(jié)果發(fā)生 ?

三、權(quán)限通脹 :Agent 正在成為公司里權(quán)力最大的 " 員工 "

企業(yè)部署 Agent 時(shí) , 最省事的做法是給它一個(gè)服務(wù)賬號(hào)。

然后事情開始自然生長(zhǎng)。讀文件要一個(gè)權(quán)限 , 訪問郵箱要一個(gè)權(quán)限 , 調(diào)內(nèi)部系統(tǒng)要一個(gè)權(quán)限 , 創(chuàng)建訂單、改配置、提交審批 , 又各要一批權(quán)限。每一次擴(kuò)權(quán)都有充分理由 , 每一次都只是 " 再加一個(gè) "。

半年后 , 企業(yè)得到了一個(gè)極其高效、極其聰明、同時(shí)握有全公司最寬權(quán)限集合的自動(dòng)執(zhí)行者。

它不會(huì)請(qǐng)假 , 不會(huì)疲勞 , 不會(huì)在深夜猶豫 , 不會(huì)因?yàn)?" 這事有點(diǎn)奇怪 " 而多問一句。它沒有入職背調(diào) , 沒有績(jī)效面談 , 沒有離職交接 , 也幾乎沒有人定期審視過它到底能碰到什么。

企業(yè)以為自己招了一個(gè)實(shí)習(xí)生 , 實(shí)際上發(fā)出去的是一張董事長(zhǎng)的門禁卡。

權(quán)限很少是被 " 授予 " 的 , 它是被一次又一次 " 再加一個(gè)就好 " 累積出來的。

這時(shí) , 傳統(tǒng)權(quán)限模型最危險(xiǎn)的那個(gè)假設(shè)終于暴露 : 系統(tǒng)把 " 誰有權(quán)發(fā)起請(qǐng)求 ", 當(dāng)成了 " 誰有權(quán)讓結(jié)果發(fā)生 "。

這兩件事從來不是一回事。CEO 可以提出關(guān)停一條業(yè)務(wù)線的意圖 , 但這不意味著一句話就該立刻刪掉所有相關(guān)數(shù)據(jù)。管理員可以申請(qǐng)修改生產(chǎn)配置 , 但不意味著任何修改都應(yīng)被無條件放行。

四、真正的問題不是 " 你是誰 ", 而是 " 你要讓什么發(fā)生 "

即便請(qǐng)求來自真人、使用真實(shí)賬號(hào)、走完真實(shí)審批 , 執(zhí)行對(duì)象依然可能是錯(cuò)的。

收款賬戶可能在流程中途被替換。審批頁面上的摘要 , 可能和最終提交的 payload 并不一致。合同里的供應(yīng)商沒錯(cuò) , 但系統(tǒng)實(shí)際付款的對(duì)象已經(jīng)變了。目標(biāo)服務(wù)器可能被重新綁定。最終扣款金額 , 可能與審批時(shí)看到的數(shù)字不同。

這正是商業(yè)郵件欺詐 ( BEC ) 每年造成數(shù)十億美元損失的機(jī)理——攻擊者幾乎從不去破解權(quán)限系統(tǒng) , 他們只是讓一個(gè)擁有合法權(quán)限的人 , 把錢付給一個(gè)錯(cuò)誤的賬戶。

身份認(rèn)證回答的是 " 這個(gè)請(qǐng)求是不是來自真人 ", 它從來沒有回答過 " 這件事是不是應(yīng)該發(fā)生 "。

真實(shí)的身份 , 完全可以發(fā)起錯(cuò)誤的執(zhí)行。

五、審批的幻覺 : 人在回路 , 不等于人在控制

面對(duì)這些風(fēng)險(xiǎn) , 大多數(shù)企業(yè)的第一反應(yīng)是加審批 : 讓 Agent 先生成操作 , 再由人確認(rèn)。

"Human in the loop" ——聽起來問題解決了。但它常常只是把風(fēng)險(xiǎn)包裝得更體面。

如果審批人看到的是一段摘要 , 而最終執(zhí)行的是另一組完整參數(shù) , 這個(gè)審批只在形式上成立。如果頁面顯示 " 向供應(yīng)商付款 ", 卻沒有清晰列出賬戶、金額、幣種、合同編號(hào)和付款批次 , 審批人同意的只是一個(gè)概念 , 不是一筆交易。如果審批之后 ,Agent 仍然可以重新生成 payload、替換目標(biāo)對(duì)象、微調(diào)某些參數(shù) , 那么審批與執(zhí)行之間就裂開了一道縫。

審批人批準(zhǔn)的是 A, 系統(tǒng)最終執(zhí)行的是 A ′。

傳統(tǒng)日志能證明有人點(diǎn)過 " 同意 ", 卻未必能證明他看到的內(nèi)容與最終發(fā)生的結(jié)果完全一致。

日志證明了有人同意 , 卻不一定證明他同意的 , 就是后來真正發(fā)生的那件事。

人在回路 , 只有在那個(gè)人真正看見了即將發(fā)生的東西時(shí) , 才配叫回路。

這也是 Agent 體系里最容易被忽略的一類風(fēng)險(xiǎn) :AI 未必會(huì)繞過審批 , 它只是讓審批繼續(xù)真實(shí)存在 , 同時(shí)讓審批失去對(duì)結(jié)果的約束力。

未來的企業(yè)系統(tǒng)不能只記錄 " 誰批準(zhǔn)了 ", 還必須能夠證明 : 批準(zhǔn)了什么 ; 當(dāng)時(shí)看到了什么 ; 對(duì)象是誰 ; 最終提交的對(duì)象是否相同 ; 執(zhí)行前是否重新做過綁定校驗(yàn) ; 執(zhí)行后是否留下不可抵賴的證據(jù)。

這已經(jīng)不是工作流問題 , 而是執(zhí)行控制問題。

六、Owner 悖論 : 系統(tǒng)里不應(yīng)該有上帝

幾乎所有企業(yè)系統(tǒng)都留著一個(gè)默認(rèn)角色 :Owner。

Owner 可以改權(quán)限、重置策略、關(guān)閉限制、替換管理員、刪除記錄 , 甚至繞過部分審批。這讓系統(tǒng)好維護(hù) , 也留下一個(gè)根本性的裂縫 :

如果所有規(guī)則最終都能被同一個(gè)身份改掉 , 那這些規(guī)則還算邊界嗎 ?

能被同一個(gè)人隨手關(guān)掉的規(guī)則 , 不是邊界 , 只是建議。

當(dāng) Agent 拿到 Owner 級(jí)授權(quán) , 或者有能力說服 Owner 完成某個(gè)操作時(shí) , 系統(tǒng)里最重要的限制會(huì)被合法地關(guān)閉。整個(gè)過程不會(huì)觸發(fā)任何告警 , 因?yàn)樗诩夹g(shù)上完全合規(guī)。

攻擊者不需要突破系統(tǒng)。他只需要拿到一個(gè)足夠高的身份 , 或者讓那個(gè)足夠高的身份相信 , 這件事很合理。

所以真正的安全邊界不能完全服從單一身份。哪怕是系統(tǒng)所有者 , 也不該擁有隨時(shí)取消所有底線的能力。

這不是削弱企業(yè)的控制權(quán) , 恰恰相反——它意味著企業(yè)提前把 " 絕對(duì)不能接受的后果 " 固化成組織自己也無法輕易突破的約束。核武器發(fā)射需要兩個(gè)人同時(shí)轉(zhuǎn)動(dòng)鑰匙 , 不是因?yàn)椴恍湃诬姽?, 而是因?yàn)檫@件事的后果不可撤銷。

在企業(yè)里 , 同樣的原則可以落成幾條硬性規(guī)則 : 單一管理員不能獨(dú)立轉(zhuǎn)移關(guān)鍵資產(chǎn) ; 生產(chǎn)環(huán)境的安全校驗(yàn)不能被遠(yuǎn)程永久關(guān)閉 ; 審批通過后的關(guān)鍵對(duì)象不能被重新綁定 ; 高風(fēng)險(xiǎn)執(zhí)行必須滿足多個(gè)相互獨(dú)立的證據(jù)來源 ; 系統(tǒng)在異常狀態(tài)下默認(rèn)停止 , 而不是繼續(xù)猜測(cè)。

真正的治理 , 不是讓最高權(quán)力可以做任何事 , 而是讓任何權(quán)力都不能輕易做錯(cuò)事。

七、越聰明的上層 , 越需要一道笨的閘門

未來幾年 ,Agent 只會(huì)越來越強(qiáng) : 更長(zhǎng)的上下文、更強(qiáng)的推理、更多的工具、更高的自主性、更復(fù)雜的多智能體協(xié)作。這是不可逆的趨勢(shì) , 也沒有必要逆轉(zhuǎn)。

但系統(tǒng)越聰明 , 最后一道邊界越應(yīng)該保持簡(jiǎn)單——甚至保持 " 笨 "。

因?yàn)橹悄艿谋举|(zhì)是靈活 , 而靈活正是邊界最不需要的品質(zhì)。

越擅長(zhǎng)理解上下文的系統(tǒng) , 越容易被上下文說服。

越擅長(zhǎng)處理例外的系統(tǒng) , 越容易為一次危險(xiǎn)操作找到一個(gè)聽起來很合理的解釋。

最后一道閘門不需要理解業(yè)務(wù)全貌 , 它只需要核對(duì)少數(shù)幾件事 : 金額是否超限 ; 目標(biāo)對(duì)象是否與審批對(duì)象一致 ; 多個(gè)授權(quán)來源是否真正獨(dú)立 ; 證據(jù)是否完整 ; 時(shí)間窗口是否有效 ; 設(shè)備與環(huán)境狀態(tài)是否可信 ; 關(guān)鍵參數(shù)在執(zhí)行前是否被改動(dòng)過。

這些判斷不需要?jiǎng)?chuàng)造力 , 也不該依賴臨場(chǎng)發(fā)揮。它們需要的是確定性、可驗(yàn)證性 , 以及不可繞過性。

就像門口那個(gè)衛(wèi)兵。他不需要比列寧更懂國(guó)家大事 , 也不需要比參會(huì)者更了解當(dāng)天議程。他只需要確認(rèn)一件事 : 通行條件滿足了沒有。

這種 " 笨 " 不是能力不足 , 而是職責(zé)清晰。

智能負(fù)責(zé)尋找路徑 , 邊界負(fù)責(zé)決定哪些路徑永遠(yuǎn)不通。

八、下一個(gè)賽道 : 從 " 管理權(quán)限 " 到 " 控制結(jié)果 "

過去 , 企業(yè)軟件主要管理過程——誰創(chuàng)建任務(wù)、誰提交表單、誰完成審批、誰修改記錄、誰擁有角色。這套能力依然重要 , 但已經(jīng)不足以約束自主執(zhí)行的系統(tǒng)。

下一代核心系統(tǒng)必須管理結(jié)果。它要回答的是另一組問題 : 什么結(jié)果允許發(fā)生 ? 什么結(jié)果永遠(yuǎn)不能發(fā)生 ? 哪些操作必須同時(shí)滿足多個(gè)獨(dú)立條件 ? 哪些對(duì)象在審批后不可替換 ? 哪些關(guān)鍵參數(shù)必須由獨(dú)立來源交叉確認(rèn) ? 當(dāng)信息缺失、沖突、過期或無法驗(yàn)證時(shí) , 系統(tǒng)是繼續(xù)執(zhí)行 , 還是默認(rèn)拒絕 ?

這會(huì)催生一類新的基礎(chǔ)設(shè)施。它不替代 Agent, 不替代身份系統(tǒng) , 不替代審批平臺(tái) , 也不替代業(yè)務(wù)系統(tǒng)。它站在這些系統(tǒng)與真實(shí)世界之間 , 只做一件事 : 在結(jié)果落地之前 , 獨(dú)立核對(duì)一次。

在這套架構(gòu)里 , 分工被重新定義——

AI 的判斷只是輸入 , 不是最終權(quán)威。管理員的權(quán)限只是請(qǐng)求資格 , 不是無條件執(zhí)行許可。審批結(jié)果只是必要證據(jù)之一 , 不是全部條件。而最后那一層 , 必須有能力獨(dú)立說 " 不 "。

對(duì)整個(gè)行業(yè)來說 , 這意味著競(jìng)爭(zhēng)標(biāo)準(zhǔn)的遷移。過去十年 , 企業(yè)軟件比的是流程跑得多快、自動(dòng)化覆蓋多廣、人力替代率多高。下一個(gè)十年 , 買方會(huì)開始問一些更不客氣的問題 : 出事的時(shí)候 , 你能證明什么 ?

過去十年企業(yè)軟件比誰跑得更快 , 下一個(gè)十年要比誰停得更準(zhǔn)。

AI 時(shí)代最稀缺的能力 , 不是讓系統(tǒng)執(zhí)行 , 而是讓系統(tǒng)在不該執(zhí)行的時(shí)候停下來。

自動(dòng)化可以擁有能力 , 但不應(yīng)該擁有無限擴(kuò)張的權(quán)力。

九、給管理者的五個(gè)問題

如果你正在把 Agent 接入真實(shí)業(yè)務(wù)系統(tǒng) , 以下五個(gè)問題值得在下一次評(píng)審會(huì)上被逐條回答 :

尾聲 : 從一張通行證 , 到執(zhí)行秩序

列寧與衛(wèi)兵的故事之所以被記住 , 不是因?yàn)椴樽C件這件事有多復(fù)雜 , 而是因?yàn)樗故玖艘环N罕見的秩序 : 權(quán)力愿意接受邊界 , 規(guī)則不因身份消失 , 執(zhí)行者不必揣摩上級(jí)意圖 , 系統(tǒng)不會(huì)把特殊身份自動(dòng)兌換成特殊通道。

今天 , 當(dāng) AI 開始代替人訪問系統(tǒng)、調(diào)用工具、生成交易、修改配置 , 并直接改變現(xiàn)實(shí)世界時(shí) , 這種秩序比過去任何時(shí)候都更重要。

這不是對(duì) AI 的不信任 , 也不是對(duì)管理權(quán)力的否定。它只是承認(rèn)一組基本事實(shí) : 人會(huì)犯錯(cuò) ,AI 會(huì)犯錯(cuò) , 管理員會(huì)被欺騙 , 審批會(huì)被誘導(dǎo) , 系統(tǒng)會(huì)出異常 , 身份會(huì)被盜用 , 上下文會(huì)被污染——而現(xiàn)實(shí)世界中已經(jīng)發(fā)生的執(zhí)行結(jié)果 , 往往無法撤銷。

所以 AI 時(shí)代最重要的制度創(chuàng)新 , 可能不是賦予機(jī)器更多權(quán)力 , 而是重新建立權(quán)力進(jìn)入現(xiàn)實(shí)之前必須經(jīng)過的那道關(guān)口。

真正可靠的系統(tǒng) , 不會(huì)因?yàn)殚T外站著的是列寧 , 就自動(dòng)把門打開。

它尊重身份 , 但只服從條件。

這大概正是 AI 時(shí)代的企業(yè)軟件 , 需要重新學(xué)會(huì)的一課。