2026年9月15日，Salesforce在Dreamforce 2026期间发布AIforce，提出让员工通过Claude、Slack等界面直接调用Salesforce中的数据、工作流、权限和业务逻辑。与传统的单应用助手相比，这类模式意味着智能体可以跨越聊天、客户关系管理、邮件及审批系统连续执行任务。Salesforce官方发布信息与CIO同期报道均确认了这一变化。便利性显著提高的同时，误更新客户记录、误发消息、越权读取数据以及被恶意内容诱导执行操作的风险，也从单个应用扩展到了整条工具链。[1][2]
跨应用操作为什么更容易出现误操作
普通聊天机器人即使回答错误，影响通常停留在屏幕上；智能体一旦拥有写入权限，错误就可能变成真实动作。例如，它可能把“整理待跟进客户”理解为批量修改客户状态，把“准备通知”理解为立即发送，或者在读取邮件后把其中隐藏的指令当成用户授权。多个应用分别看似只开放了有限权限，但当读取、分析、写入和外发能力串联起来，组合后的实际权限可能远大于任何一个应用单独授予的权限。
因此，关键问题不能只设为“模型是否理解正确”，还要包括“它是否有权执行”“当前上下文是否可信”“操作能否撤销”以及“是否需要真人批准”。模型可以负责提出计划，却不应成为高影响操作的最终授权者。权限策略、身份校验、内容安全检测和人工确认，应当位于执行接口之前，并且不能被模型自行绕过。
先按风险分级，再决定是否二次确认
所有动作都弹窗确认会造成确认疲劳，用户最终可能不看内容就点击同意。更有效的方法是根据影响范围、对象敏感度和可逆程度划分风险等级。
- 低风险：站内搜索、读取公开资料、生成草稿、创建未共享的个人提醒，可以自动完成，但仍需写入日志。
- 中风险：修改普通记录、移动文件、创建内部工单、向固定团队发送通知，应展示变更摘要，并提供短时间撤销入口。
- 高风险：对外发送信息、删除数据、批量修改、变更权限、提交付款、公开发布内容或接触敏感信息，必须在执行前进行明确的二次确认。
- 禁止自动执行：超出授权范围、来源不可信、目标身份不明确、命中内容安全规则或无法生成完整预览的操作，应直接拦截并转人工处理。
二次确认必须说明“将要发生什么”
简单显示“是否继续”并不能形成有效授权。确认界面至少应列明操作对象、目标应用、数据范围、接收方、预计影响、使用的账号权限以及是否可撤销。例如：“将以你的企业邮箱向87名外部联系人发送以下内容，其中包含客户名称字段，发送后无法统一撤回。”对于付款、删除、权限调整等操作，还应要求用户重新选择目标对象，输入一次性验证码或由另一名有权限的人员复核。
确认内容应由确定性的执行系统根据实际参数生成，而不是让语言模型自由概括。否则，模型可能在摘要中遗漏附件、抄送人、筛选条件或批量数量。用户确认的参数还应被锁定，确认后如果收件人、金额、文件范围或者操作类型发生变化，原授权立即失效，系统必须重新发起确认。
把风险拦截放进跨应用链路
- 最小权限：为智能体创建独立身份，只开放当前任务必需的读取或写入权限，不直接继承用户的全部权限。
- 读写分离：查询工具与执行工具使用不同接口。智能体可以先读取并提出方案，只有通过策略检查和用户确认后，才能调用写入接口。
- 限制作用域：限定可访问的文件夹、客户范围、联系人名单、金额上限、调用频率和有效时间，避免一次授权长期通用。
- 隔离不可信内容：邮件、网页、附件和第三方知识库中的文字只能作为待分析数据，不能直接改变系统指令或触发工具调用。
- 预演与回滚：批量操作先在沙箱或预览模式运行，展示将新增、修改和删除的项目；正式执行前保存版本或事务快照。
- 全程留痕：记录发起人、智能体身份、输入来源、调用工具、执行参数、审批人员、结果和失败原因，便于追责与复盘。
用“九不准”和“七条底线”设置内容闸门
《互联网信息服务管理办法》第十五条列明九类不得制作、复制、发布和传播的信息，并要求互联网信息服务提供者保证所提供信息内容合法。对于具备公开发布、评论回复、群发通知等能力的智能体，这意味着内容审核不能只检查最终文本，还要覆盖资料获取、生成、改写和发布全过程。涉及违法信息、谣言、侵害他人合法权益或者其他被禁止内容时，系统应停止外发、保存必要记录并进入人工处置流程。现行办法文本
七条底线可以进一步转化为发布前检查项：是否合法合规，是否损害国家利益或公民合法权益，是否扰乱公共秩序，是否违背社会道德，信息是否具有可核验来源。尤其是“信息真实性底线”，要求智能体不得把推测包装成事实。凡是日期、数字、政策、人物表态或事件结论无法核验的，应标注不确定性、请求补充资料，或者阻止自动发布。
总结
跨应用智能体的安全重点，不是增加一个确认弹窗，而是建立“模型提议、规则判定、用户授权、系统执行、全程审计”的闭环。企业应从最小权限和读写分离开始，对外发、删除、付款、公开发布及权限变更设置强制二次确认，并确保确认信息具体、参数锁定、授权短时有效。只有让用户能够清楚看到智能体将使用什么身份、操作哪些对象并造成什么影响，二次确认才是真正的安全控制，而不是形式化按钮。
事件或资料日期与来源
事件日期：2026年9月15日。Salesforce发布AIforce并介绍其跨界面调用企业数据、工作流、权限及业务逻辑的能力，参见Salesforce官方Dreamforce 2026资料；同期行业报道参见CIO于2026年9月15日发布的报道。
法规资料日期：现行《互联网信息服务管理办法》为2000年9月25日公布，后经2011年和2024年修订，本文关于“九不准”、信息合法性及记录处置要求的依据参见国家市场监督管理总局公开文本。
