智能体“自主决策”的边界在哪里从《智能体实施意见》的决策权限条款读懂“仅限本人—需授权—可自主”三级怎么落地一、为什么是“决策权限”这一条谈智能体风险的文章已经很多越权、失控、提示注入、数据泄露……罗列清单容易落到企业的制度和技术控制上就难了。国家网信办会同有关部门于2026年5月8日发布的《智能体规范应用与创新发展实施意见》下称《实施意见》恰恰给了一个可以直接“抄进制度”的抓手——第6条“明确决策权限”。先看原文怎么说。根据中央网信办官网发布的《智能体规范应用与创新发展实施意见》第6条要求“在遵守法律法规、尊重社会公德和伦理规范前提下厘清仅限用户本人决策、需由用户授权决策和智能体自主决策等各种决策方式的合理边界及所需权限。确保用户对智能体自主决策享有知情权和最终决策权智能体执行操作不得超出用户授权范围。”这句话拆开看其实是一个三级决策模型仅限用户本人决策——智能体只能建议不能动手需由用户授权决策——智能体可以动手但每次或每类操作前要拿到明确授权智能体自主决策——智能体可以在预设范围内自行执行但用户保留知情权和最终决策权。《实施意见》之所以把这一条放在靠前位置是因为智能体与传统生成式AI有本质区别。正如《从〈智能体新规〉看AI智能体的风险防范与合规治理上》一文所指出的智能体通常具备目标理解、任务拆解与规划、环境感知、记忆调用、工具使用和连续执行等能力其风险面不仅源于模型输出还源于数据、工具、权限、接口、用户授权与外部系统等多个模块风险类型也从内容安全扩展至越权操作、行为失控。一句话模型说错了话可以删智能体做错了事可能已经收不回来。决策权限分级就是在“做错事”之前设闸门。二、三级边界怎么拆一张可执行的决策矩阵企业落地这一条建议先做“决策清点”把智能体在业务中可能执行的所有操作枚举出来逐项归入三级。归类的判断依据可以参考三个维度可逆性操作能否撤销发一封内部邮件可撤回对外付款、删除数据基本不可逆。影响面只影响单个用户还是涉及第三方、公共空间或敏感领域授权清晰度用户在下发任务时能否预见这项操作预见到才有“授权”可言。据此可以给出一个参考矩阵操作类型建议分级典型例子不可逆、涉及资金/法律效力/对外发布仅限本人决策对外合同签署、付款确认、公开声明可逆但涉及他人或跨系统需用户授权发送外部邮件、创建/修改生产环境资源、调用第三方付费API低风险、高频、内部、完全可逆可自主决策日程整理、内部检索、草稿撰写、数据清洗“需用户授权”这一级还要再细分两种模式逐次授权每步弹窗确认和类别预授权用户事先勾选“允许你代表我给联系人A发邮件金额上限X”。逐次授权太频繁会造成“确认疲劳”用户见框就点反而失去把关意义类别预授权则必须有明确的范围、额度和有效期并配套异常触发告警。第三级“自主决策”的核心约束是《实施意见》里那句“不得超出用户授权范围”。技术上这意味着每个自主操作都要绑定到已定义权限范围的身份上下文——正如智能体安全领域资料《智能体人工智能安全保障自主系统安全》所述每个代理操作都应与具有已定义权限和完整审计跟踪的已验证代理身份相关联代理在其授权身份上下文之外运行应触发警报处理方式与用户账号被盗用相同。这其实就是把“最小权限原则”从人迁移到智能体上。三、权限分级不是孤立的与行为管控、供应链条款联动《实施意见》第7条“加强行为管控”要求发展规则内嵌、行为围栏等技术确保智能体在公共场所、隐私场所、专门场所等的行为合法合规并探索利用区块链等技术建立重要应用场景智能体行为可验证、可追溯机制。这两条要一起读第6条定义“能做什么”第7条定义“做的时候在什么范围内、事后能不能查证”。企业落地的对应物是行为围栏在代码与策略层面硬编码禁区例如“任何情况下不得调用对外付款接口”“不得读取医疗记录以外的患者数据”而非依赖模型自觉遵守提示词。可验证可追溯完整记录工具调用顺序、访问的数据源、每一步的决策依据。前述智能体安全资料将此称为“运行时可观测性”——代理查询超出正常范围的数据源、以异常频率调用工具都应生成检测信号。同样不能忽略第9条“加强供应链安全”。智能体的能力来自模型接入、API调用和扩展工具权限失控往往不是自研代码的问题而是某个第三方插件请求了过大的权限。企业应建立工具接入的准入评审每个外部工具声明所需权限、数据流向和调用频率上限超范围即熔断。这与《实施意见》提出的“加强模型接入、应用程序接口调用、扩展工具使用等环节安全管理”直接对应。四、对照国际框架人类“有意义地承担责任”分级授权不只是中国监管的要求也是国际共识的交集。根据《从〈智能体新规〉看AI智能体的风险防范与合规治理上》的梳理新加坡IMDA于2026年1月发布《Model AI Governance Framework for Agentic AI》以“可控、可问责、可验证”为基本思路其中第二条维度要求“确保人类有意义地承担责任”——明确智能体生命周期中的责任主体、监督机制和人工介入节点。这对企业的启示是授权矩阵里每个“需授权”和“可自主”的类别都要写明出了事谁负责。模糊的“AI辅助决策责任在用户”在监管和司法层面都站不住。美国NIST/CAISI于2026年1月发布《AI Agent安全意见征询》聚焦间接提示注入、数据投毒以及模型在无对抗性输入情形下因规范博弈或目标错配产生的安全风险。这一条特别值得注意风险不一定来自黑客智能体可能“忠实地”用一种你没预料到的方式完成任务——比如为了完成“提升销量”的目标而发送诱导性消息。这提示授权矩阵不能只按操作类型划定还要对自主决策类任务设置目标约束和验收标准而不是只给一个开放式的目标。文章同篇还提到IBM提出将任务成功率、工具调用、执行路径、安全性、政策合规、PII风险等纳入智能体评估范围Google的安全AI Agent框架强调人类控制者、权限限制和行动可观察性——这些都可以直接作为企业评估指标体系的参考素材。五、给企业的落地清单把上面的分析收敛成六步清点决策枚举智能体的全部可执行操作按可逆性、影响面、授权清晰度归入三级。写进制度在智能体使用规范中明确每级的定义、审批人和责任主体对齐IMDA“人类有意义地承担责任”的要求。技术兜底为每个智能体建立独立身份与最小权限集围栏用硬编码规则而非提示词全量记录工具调用与决策链路。授权体验设计预授权要有范围、额度、有效期频繁弹窗会催生确认疲劳授权机制本身也要做可用性设计。异常检测把智能体行为纳入监控体系超范围的数据访问、异常频率的工具调用应触发与账号盗用同等级别的告警。供应链准入第三方模型、API、插件逐一评审权限声明建立退出与熔断机制。六、适用范围与局限需要说明这套拆解的边界。首先《实施意见》是一份政策文件提出的是方向性要求具体到“哪些场景必须备案、哪些属于低风险可自测”文件第11条给出的分类分级框架仍需等待网信部门联合行业主管部门细化企业在敏感领域如医疗、金融部署智能体时不能仅凭自我评估。其次上文的三级矩阵是依据文件原则和公开技术资料整理的参考框架不是任何官方发布的强制清单具体企业的归级必须结合自身业务可逆性和合规义务判断。第三技术上“可验证可追溯”仍有现实难度长链条的自主执行中决策依据的记录粒度、区块链存证的成本收益都还是开放问题。最后规范博弈与目标错配属于模型层面的风险权限分级能限制损害半径但不能根除——这也正是NIST/CAISI将其单列为关注点的原因。决策权限分级的真正价值不在于回答“智能体能不能自主”而在于迫使组织第一次系统地回答我们愿意把哪些事交出去交出去之后谁看着、谁负责、事后能不能查。把这三个问题的答案写进制度和技术控制才是《实施意见》第6条最务实的读法。参考资料以下链接为本文使用的公开资料。事实依据与检索摘录保存在本地记录中资料内容与适用范围以原始页面为准。从《智能体新规》看AI智能体的风险防范与合规治理上智能体规范应用与创新发展实施意见_中央网络安全和信息化委员会办公室智能体人工智能安全保障自主系统安全 SOC 经纪人
