AI 让 " 有权限 " 和 " 已执行 " 之间的那段距离消失了。企业软件下一场竞争，比的不是谁跑得更快，而是谁停得更准。

引子：一张没有例外的通行证

有一个流传很广的故事。

列宁前往斯莫尔尼宫开会，门口的卫兵不认识他，按规定要求出示通行证。随行的人提醒：" 这是列宁同志。" 卫兵没有让步——没有通行证，不能进。

列宁没有责怪他，反而肯定了他的做法。

这个故事过去常被用来说明 " 制度高于个人 "。但放到今天 , 它值得被重新读一遍。因为卫兵真正守住的 , 并不是一扇门。

他守住的是一条更根本的边界 : 身份不能直接兑换成执行权。

一个人的职位再高、权限再大、声望再强 , 也不能跳过已经设定好的执行条件。而这恰恰是今天大量企业软件、AI Agent 系统和自动化平台 , 正在悄悄丢掉的东西。

一、摩擦 , 曾经是最好的安全系统

过去几十年 , 企业信息系统解决的核心问题 , 基本可以归结为身份与权限。

你是谁 ? 属于哪个部门 ? 拥有什么角色 ? 是否登录 ? 是否是管理员 ? 是否走完了审批 ?

这套体系背后有一个从未被明说的假设 : 只要身份真实、权限有效、流程走完 , 接下来的操作就可以发生。

在人操作软件的年代 , 这个假设大体成立。不是因为它严密 , 而是因为它有一层免费的保护——人本身的迟缓。

一个管理员拥有删除全部账号的权限 , 并不意味着他会在一秒内删掉一万个。一个财务负责人拥有付款权限 , 也不意味着他会在无人干预的情况下 , 自动生成收款账户、调用银行接口、完成转账。人的时间、注意力、知识储备和手速 , 构成了一层天然的摩擦力。

审批要等 , 邮件要写 , 表格要填 , 系统要切换。每一次等待 , 都是一次隐性的复核机会。

过去几十年企业安全真正的支柱 , 从来不只是防火墙和权限矩阵 , 还有人类的迟钝。

现在 , 这层摩擦正在被系统性地清除。而清除它 , 恰恰是 AI Agent 被购买的理由。

二、AI 把 " 有权限 " 压缩成了 " 已执行 "

Agent 与传统软件最大的区别 , 不只是它能听懂自然语言。更关键的是 , 它可以连续行动。

它可以读邮件、总结上下文、检索数据库、调用接口、生成参数、创建订单、修改权限、提交请求、触发审批 , 甚至指挥另一个 Agent 接着往下做。过去需要七个人、五个系统、三天时间才能走完的链条 , 现在可能在一句话之后自动完成。

" 帮我处理这批到期合同。" —— Agent 检索合同、识别供应商、判断续约条件、生成付款申请、发出确认邮件、调起财务系统。

" 把服务器故障处理一下。" —— Agent 改防火墙、重启服务、更新访问策略 , 甚至切换生产环境。

" 优化一下云成本。" —— Agent 关掉闲置实例 , 也可能关掉一个仍在承载流量的关键节点。

这不是假想的风险。2012 年 8 月 , 美国做市商骑士资本 ( Knight Capital ) 因为一次部署失误 , 系统在约 45 分钟内自动发出海量错误订单 , 亏掉约 4.4 亿美元 , 公司实质上被这 45 分钟终结。2017 年 2 月 ,AWS 一名获得完整授权的工程师在执行标准运维脚本时输错了一个参数 , 下线的服务器远超预期 , 导致 S3 大面积中断 , 半个互联网跟着停摆。

这两起事故里 , 没有黑客 , 没有越权 , 没有身份伪造。每一步都是 " 合法 " 的。

企业今天面对的问题 , 已经不再只是 "AI 会不会理解错 "。真正的问题是 :

AI 的理解 , 为什么能够如此迅速地进入现实 ?

传统系统关心的是 " 谁有权发起请求 "。AI 时代必须追问下一句 : 拿到权限之后 , 谁有权让最终结果发生 ?

三、权限通胀 :Agent 正在成为公司里权力最大的 " 员工 "

企业部署 Agent 时 , 最省事的做法是给它一个服务账号。

然后事情开始自然生长。读文件要一个权限 , 访问邮箱要一个权限 , 调内部系统要一个权限 , 创建订单、改配置、提交审批 , 又各要一批权限。每一次扩权都有充分理由 , 每一次都只是 " 再加一个 "。

半年后 , 企业得到了一个极其高效、极其聪明、同时握有全公司最宽权限集合的自动执行者。

它不会请假 , 不会疲劳 , 不会在深夜犹豫 , 不会因为 " 这事有点奇怪 " 而多问一句。它没有入职背调 , 没有绩效面谈 , 没有离职交接 , 也几乎没有人定期审视过它到底能碰到什么。

企业以为自己招了一个实习生 , 实际上发出去的是一张董事长的门禁卡。

权限很少是被 " 授予 " 的 , 它是被一次又一次 " 再加一个就好 " 累积出来的。

这时 , 传统权限模型最危险的那个假设终于暴露 : 系统把 " 谁有权发起请求 ", 当成了 " 谁有权让结果发生 "。

这两件事从来不是一回事。CEO 可以提出关停一条业务线的意图 , 但这不意味着一句话就该立刻删掉所有相关数据。管理员可以申请修改生产配置 , 但不意味着任何修改都应被无条件放行。

四、真正的问题不是 " 你是谁 ", 而是 " 你要让什么发生 "

即便请求来自真人、使用真实账号、走完真实审批 , 执行对象依然可能是错的。

收款账户可能在流程中途被替换。审批页面上的摘要 , 可能和最终提交的 payload 并不一致。合同里的供应商没错 , 但系统实际付款的对象已经变了。目标服务器可能被重新绑定。最终扣款金额 , 可能与审批时看到的数字不同。

这正是商业邮件欺诈 ( BEC ) 每年造成数十亿美元损失的机理——攻击者几乎从不去破解权限系统 , 他们只是让一个拥有合法权限的人 , 把钱付给一个错误的账户。

身份认证回答的是 " 这个请求是不是来自真人 ", 它从来没有回答过 " 这件事是不是应该发生 "。

真实的身份 , 完全可以发起错误的执行。

五、审批的幻觉 : 人在回路 , 不等于人在控制

面对这些风险 , 大多数企业的第一反应是加审批 : 让 Agent 先生成操作 , 再由人确认。

"Human in the loop" ——听起来问题解决了。但它常常只是把风险包装得更体面。

如果审批人看到的是一段摘要 , 而最终执行的是另一组完整参数 , 这个审批只在形式上成立。如果页面显示 " 向供应商付款 ", 却没有清晰列出账户、金额、币种、合同编号和付款批次 , 审批人同意的只是一个概念 , 不是一笔交易。如果审批之后 ,Agent 仍然可以重新生成 payload、替换目标对象、微调某些参数 , 那么审批与执行之间就裂开了一道缝。

审批人批准的是 A, 系统最终执行的是 A ′。

传统日志能证明有人点过 " 同意 ", 却未必能证明他看到的内容与最终发生的结果完全一致。

日志证明了有人同意 , 却不一定证明他同意的 , 就是后来真正发生的那件事。

人在回路 , 只有在那个人真正看见了即将发生的东西时 , 才配叫回路。

这也是 Agent 体系里最容易被忽略的一类风险 :AI 未必会绕过审批 , 它只是让审批继续真实存在 , 同时让审批失去对结果的约束力。

未来的企业系统不能只记录 " 谁批准了 ", 还必须能够证明 : 批准了什么 ; 当时看到了什么 ; 对象是谁 ; 最终提交的对象是否相同 ; 执行前是否重新做过绑定校验 ; 执行后是否留下不可抵赖的证据。

这已经不是工作流问题 , 而是执行控制问题。

六、Owner 悖论 : 系统里不应该有上帝

几乎所有企业系统都留着一个默认角色 :Owner。

Owner 可以改权限、重置策略、关闭限制、替换管理员、删除记录 , 甚至绕过部分审批。这让系统好维护 , 也留下一个根本性的裂缝 :

如果所有规则最终都能被同一个身份改掉 , 那这些规则还算边界吗 ?

能被同一个人随手关掉的规则 , 不是边界 , 只是建议。

当 Agent 拿到 Owner 级授权 , 或者有能力说服 Owner 完成某个操作时 , 系统里最重要的限制会被合法地关闭。整个过程不会触发任何告警 , 因为它在技术上完全合规。

攻击者不需要突破系统。他只需要拿到一个足够高的身份 , 或者让那个足够高的身份相信 , 这件事很合理。

所以真正的安全边界不能完全服从单一身份。哪怕是系统所有者 , 也不该拥有随时取消所有底线的能力。

这不是削弱企业的控制权 , 恰恰相反——它意味着企业提前把 " 绝对不能接受的后果 " 固化成组织自己也无法轻易突破的约束。核武器发射需要两个人同时转动钥匙 , 不是因为不信任军官 , 而是因为这件事的后果不可撤销。

在企业里 , 同样的原则可以落成几条硬性规则 : 单一管理员不能独立转移关键资产 ; 生产环境的安全校验不能被远程永久关闭 ; 审批通过后的关键对象不能被重新绑定 ; 高风险执行必须满足多个相互独立的证据来源 ; 系统在异常状态下默认停止 , 而不是继续猜测。

真正的治理 , 不是让最高权力可以做任何事 , 而是让任何权力都不能轻易做错事。

七、越聪明的上层 , 越需要一道笨的闸门

未来几年 ,Agent 只会越来越强 : 更长的上下文、更强的推理、更多的工具、更高的自主性、更复杂的多智能体协作。这是不可逆的趋势 , 也没有必要逆转。

但系统越聪明 , 最后一道边界越应该保持简单——甚至保持 " 笨 "。

因为智能的本质是灵活 , 而灵活正是边界最不需要的品质。

越擅长理解上下文的系统 , 越容易被上下文说服。

越擅长处理例外的系统 , 越容易为一次危险操作找到一个听起来很合理的解释。

最后一道闸门不需要理解业务全貌 , 它只需要核对少数几件事 : 金额是否超限 ; 目标对象是否与审批对象一致 ; 多个授权来源是否真正独立 ; 证据是否完整 ; 时间窗口是否有效 ; 设备与环境状态是否可信 ; 关键参数在执行前是否被改动过。

这些判断不需要创造力 , 也不该依赖临场发挥。它们需要的是确定性、可验证性 , 以及不可绕过性。

就像门口那个卫兵。他不需要比列宁更懂国家大事 , 也不需要比参会者更了解当天议程。他只需要确认一件事 : 通行条件满足了没有。

这种 " 笨 " 不是能力不足 , 而是职责清晰。

智能负责寻找路径 , 边界负责决定哪些路径永远不通。

八、下一个赛道 : 从 " 管理权限 " 到 " 控制结果 "

过去 , 企业软件主要管理过程——谁创建任务、谁提交表单、谁完成审批、谁修改记录、谁拥有角色。这套能力依然重要 , 但已经不足以约束自主执行的系统。

下一代核心系统必须管理结果。它要回答的是另一组问题 : 什么结果允许发生 ? 什么结果永远不能发生 ? 哪些操作必须同时满足多个独立条件 ? 哪些对象在审批后不可替换 ? 哪些关键参数必须由独立来源交叉确认 ? 当信息缺失、冲突、过期或无法验证时 , 系统是继续执行 , 还是默认拒绝 ?

这会催生一类新的基础设施。它不替代 Agent, 不替代身份系统 , 不替代审批平台 , 也不替代业务系统。它站在这些系统与真实世界之间 , 只做一件事 : 在结果落地之前 , 独立核对一次。

在这套架构里 , 分工被重新定义——

AI 的判断只是输入 , 不是最终权威。管理员的权限只是请求资格 , 不是无条件执行许可。审批结果只是必要证据之一 , 不是全部条件。而最后那一层 , 必须有能力独立说 " 不 "。

对整个行业来说 , 这意味着竞争标准的迁移。过去十年 , 企业软件比的是流程跑得多快、自动化覆盖多广、人力替代率多高。下一个十年 , 买方会开始问一些更不客气的问题 : 出事的时候 , 你能证明什么 ?

过去十年企业软件比谁跑得更快 , 下一个十年要比谁停得更准。

AI 时代最稀缺的能力 , 不是让系统执行 , 而是让系统在不该执行的时候停下来。

自动化可以拥有能力 , 但不应该拥有无限扩张的权力。

九、给管理者的五个问题

如果你正在把 Agent 接入真实业务系统 , 以下五个问题值得在下一次评审会上被逐条回答 :

尾声 : 从一张通行证 , 到执行秩序

列宁与卫兵的故事之所以被记住 , 不是因为查证件这件事有多复杂 , 而是因为它展示了一种罕见的秩序 : 权力愿意接受边界 , 规则不因身份消失 , 执行者不必揣摩上级意图 , 系统不会把特殊身份自动兑换成特殊通道。

今天 , 当 AI 开始代替人访问系统、调用工具、生成交易、修改配置 , 并直接改变现实世界时 , 这种秩序比过去任何时候都更重要。

这不是对 AI 的不信任 , 也不是对管理权力的否定。它只是承认一组基本事实 : 人会犯错 ,AI 会犯错 , 管理员会被欺骗 , 审批会被诱导 , 系统会出异常 , 身份会被盗用 , 上下文会被污染——而现实世界中已经发生的执行结果 , 往往无法撤销。

所以 AI 时代最重要的制度创新 , 可能不是赋予机器更多权力 , 而是重新建立权力进入现实之前必须经过的那道关口。

真正可靠的系统 , 不会因为门外站着的是列宁 , 就自动把门打开。

它尊重身份 , 但只服从条件。

这大概正是 AI 时代的企业软件 , 需要重新学会的一课。