🚀 随着 AI Skill 从“问答助手”走向“能调用工具、访问数据、执行动作”的智能代理，安全权限设计已经不再是上线前的附属项，而是产品架构的核心能力。一个可用的 Skill，不仅要回答准确，还要知道“能做什么、不能做什么、何时需要人审、出了问题如何追溯”。
一、先把 AI Skill 当成“有权限的应用”来设计 🔐
很多团队在设计 AI Skill 时，容易把重点放在提示词、模型效果和接口编排上，却忽略了一个关键事实：只要 Skill 能读取文件、查询系统、调用 API 或写入业务数据，它就已经是一个具备权限边界的应用。权限设计应从需求阶段开始，而不是等到接入生产数据后再补救。
实践中建议先画出三张清单：第一，Skill 需要访问哪些数据；第二，Skill 能触发哪些动作；第三，哪些动作可能造成业务、合规或隐私风险。比如“查询订单状态”和“修改退款金额”看似都属于客服场景，但后者明显需要更高等级的授权、审计与人工确认。
二、最小权限原则是底线，而不是口号 🧩
最小权限的核心是只授予完成任务所必需的访问范围。Microsoft Entra 的相关文档也强调，用户和组应仅获得履行职责所需的最低访问级别，并通过 RBAC、即时访问和定期审查降低风险，参考 Microsoft Entra 最小权限说明。
落到 AI Skill 上，最小权限至少包括四层：数据最小化、接口最小化、动作最小化和时间最小化。数据最小化指只给 Skill 当前任务所需字段；接口最小化指不要把整套后台 API 暴露给模型；动作最小化指优先提供只读能力；时间最小化指敏感权限应临时开启、到期自动回收。
三、把权限拆成“读、判、写、执”四类 ✍️
一个实用的做法，是按能力风险拆分权限。读权限用于检索知识库、订单、工单、配置等信息；判权限用于分类、推荐、风险评分；写权限用于创建备注、更新状态、生成记录；执行权限则可能触发付款、删除、审批、通知外部系统等动作。
这四类权限不应混在一个万能角色里。低风险 Skill 可以只读；中风险 Skill 可以写入草稿或建议；高风险 Skill 才允许执行动作，并且要增加确认、审批、回滚和告警机制。这样设计的好处是，即使模型受到误导，也难以越权造成实质损害。
四、重点防范提示注入与过度代理 ⚠️
AI Skill 的特殊风险在于，用户输入、网页内容、文档片段或检索结果都可能影响模型行为。OWASP 在大语言模型应用安全项目中列出了提示注入、敏感信息泄露、供应链风险、过度代理等关键风险，可参考 OWASP Top 10 for LLM Applications。
因此，系统提示词不能被当作唯一防线。更稳妥的方式是把安全策略下沉到工具层和网关层：模型可以“建议调用哪个工具”，但真正执行前，权限网关必须校验用户身份、资源范围、动作类型、上下文风险和策略结果。模型说“我是管理员授权的”不应成为放行依据。
五、为高风险动作设置“人类刹车” 🛑
并不是所有自动化都值得全自动。涉及资金、合同、账号权限、客户隐私、生产配置、批量删除等场景，应设置人工确认或双人审批。AI Skill 可以负责整理上下文、生成建议、列出影响范围，但最终执行权应由具备责任主体的人或系统策略控制。
一个简洁有效的分级方式是：低风险动作自动执行并记录日志；中风险动作要求用户二次确认；高风险动作进入审批流；极高风险动作默认禁止，由专用后台处理。这样的设计不会明显降低效率，却能显著减少误操作和被诱导执行的风险。
六、权限上下文要可见、可控、可追溯 🧾
AI Skill 的每次关键调用都应留下可审计记录，包括用户身份、Skill 名称、输入摘要、检索来源、调用工具、请求参数、策略判断、执行结果和审批人。日志不只是事后追责工具，也是持续优化权限策略的重要依据。
同时，用户界面也应适度展示权限边界。例如在回答前提示“当前 Skill 仅能读取知识库，不能修改业务数据”；在执行前说明“将更新 1 条工单状态”。这种透明度能帮助用户建立正确预期，也能减少把 AI 当成“黑箱管理员”的风险。
七、建立持续评估机制，而不是一次性验收 🔄
NIST AI 风险管理框架提出，AI 风险管理应覆盖设计、开发、使用和评估等环节，并强调治理、识别、测量和管理等能力，参考 NIST AI RMF。这对 AI Skill 同样适用：权限策略不是上线时写完就结束，而要随业务、数据和攻击方式变化持续调整。
建议团队定期做三类检查：权限漂移检查，看 Skill 是否获得了超出原始需求的访问；红队测试，模拟提示注入、越权调用和敏感数据诱导；日志复盘，分析失败调用、拒绝调用和异常高频操作。每次复盘都应产出策略改进，而不是只留下会议记录。
总结：让 AI Skill 有能力，也有边界 ✅
AI Skill 的价值在于把知识、系统和流程连接起来，但连接越多，权限安全越重要。好的安全设计不是简单地“限制 AI”，而是让它在明确边界内可靠工作：该读的读得到，该做的做得成，不该碰的碰不到，出问题能查清。
真正成熟的 AI Skill 权限体系，应同时满足四个目标：默认最小权限、敏感动作可控、关键过程可审计、风险策略可迭代。只有这样，AI 才能从演示环境稳定走向真实业务场景。
