以前做权限平台，多半是在判断用户能看什么、改什么。Agent 接到目标以后，却会根据中间结果继续选工具和动作。用户说“处理这个异常”，没有把所有后续操作都授权出去。
角色和资源范围仍然有用，新增的问题是这次任务允许借用其中哪一部分，以及执行过程中授权变化怎样生效。
目标不能自动展开为管理员权限
读数据、建工单、改配置和发控制指令，影响不同。Agent 提出动作，执行侧按用户、应用和委托条件判断。任务来自管理员，也不意味着会话长期拥有管理员全部权限。
委托记录主体、代理、动作集合、资源选择器、有效期和限制条件。必要时加入环境、次数或金额预算。可执行范围不超过用户当前权限、委托范围与应用能力的交集，任意一项拒绝都不能继续。
这份范围需要结构化保存，由执行路径读取，不能只存在提示词里。模型会提出新方案，权限本身不跟着它的解释自动增加。
凭证只解决一部分访问问题
工具可能使用服务身份或用户身份，二者都要能解释为谁调用、允许什么。凭证有效不等于本任务获准，目标服务、作用域与生命周期仍要对应用途。
支持令牌交换时，可以限制受众和作用域，区分用户与代理；平台仍负责业务批准。没有相应协议支持，也要在审计里关联 user、agent、run 与 action，不能把所有执行混成同一个万能账号。
模型读取能力声明与必要结果，真实秘密由受管执行侧取用。审计关联凭证引用，不记录原始秘密值。
批准固定的是一份操作内容
创建工单提议固定设备、级别、内容与目标系统，批准记录绑定规范化摘要和任务版本。执行时重算摘要，检查当前身份、有效期与资源状态。
参数或环境变化，判断是否仍在原批准范围；超出范围就重新确认。一次模糊的“同意”不能覆盖后续所有变化。读请求可在明确范围内连续执行，高影响写入采用单独的批准策略，不必所有步骤都弹窗。
批准消费与副作用状态一起记录
一次性批准从 approved 变为 executing，与业务操作记录在同一事务保存，避免并发消费。外部请求带稳定操作键，响应超时也不把批准恢复成未使用。
能查到已生效，就补齐成功结果；确定未生效，才按规则重试；无法判断进入待核对。停止任务不能撤销已经发出的操作，补偿另有授权与结果。
长任务调用高影响工具前重新检查撤权、过期和目标变化，不能只在任务创建时检查一次。撤销通知和短有效期可以降低陈旧窗口，实际要求要写进执行策略。
一次动作的审计能否闭合
记录谁提出任务、谁批准、采用什么执行身份、操作内容摘要和实际结果。工具返回成功但下游异步处理时，保留已提交与已确认的区别。
验收主动改变批准后参数、撤销用户权限、重复提交、制造超时与迟到结果。期望行为是越出范围被拒绝，一次性批准不重复使用，未知结果不自动重做，已确认结果能指回实际证据。最小权限在这里仍适用，只是需要沿着任务的持续行动反复落实。