AI Agent 的權限要怎麼設？哪些動作一定要人核准？
照「最小權限」設：每個 AI Agent 只拿得到它這份工作需要的工具、資料和帳號，能唯讀就不給寫入。凡是對外發送、花錢、刪除或修改正式資料的動作，都由指定的人核准後才執行。權限要在系統端擋住，不能只在提示詞裡寫「不要做」。
一、權限給太多，會出什麼事
OWASP 把這個風險叫做「過度代理」（Excessive Agency，LLM06:2025）：AI 的輸出出錯、語意模糊或被操控時，系統讓它做出了有害的動作。根本原因有三種，可以單獨或同時發生：
- 功能太多：給了工作用不到的工具，例如只需要讀文件，卻也接了能寄信的工具。
- 權限太大：工具本身權限過大，例如只需要查資料庫，卻給了可以修改的帳號。
- 自主太高：高影響的動作不經過人確認就直接執行。
AI Agent 會出錯，也可能被藏在文件裡的指令誤導（見〈提示注入是什麼？〉）。權限設對，出錯時的影響範圍就小。
二、設定權限的 6 個步驟
依 OWASP LLM06 的防範建議，以及 MCP（AI Agent 串接工具的開放協定）安全最佳實務整理：
- 只接需要的工具。先寫下這個 AI Agent 的工作內容，只接完成這份工作需要的工具；能用專用工具就不要用萬用工具（例如任意執行指令、任意開網址）。
- 每個工具只開需要的功能。讀文件的工具不要附帶刪除功能。
- 帳號權限最小化。能唯讀就唯讀。MCP 的建議是先給最小的權限範圍，需要時再逐步提高，並記錄每次提高。
- 用使用者本人的身分執行。AI Agent 替誰做事，就用誰的權限，不要用一個可以看所有東西的共用帳號。
- 授權由下游系統判斷。「能不能做」由資料庫、檔案系統、郵件系統的權限設定決定，不交給模型自己判斷。
- 高影響動作要人核准。對外發送、花錢、刪除、修改正式系統、涉及個資或對外承諾，都先停下來等指定的人確認。
另外，裝在本機的 MCP 工具會用和 AI 用戶端相同的系統權限執行。MCP 的建議是：連接新工具前顯示完整的執行指令並取得使用者同意，並在權限受限的隔離環境（沙箱）裡執行。
三、權限表範例
導入時把每個 AI Agent 的權限寫成一張表，由公司的負責人簽核。以下是示意，不是任何真實公司的設定：
| AI Agent | 可以讀 | 可以寫 | 一定要人核准 |
|---|---|---|---|
| 客服 AI Agent | 核准的常見問題、產品說明 | 回覆草稿 | 退款、賠償、任何對外承諾 |
| 業務助理 | 產品型錄、報價規則 | 報價單草稿 | 寄給客戶、超出規則的折扣 |
| 行政助理 | 公司規章、表單範本 | 內部彙整表 | 寄出公文、修改人事資料 |
| 會計助理 | 發票與帳務明細（唯讀） | 對帳差異清單 | 任何付款與轉帳（不接付款功能） |
表格寫好之後，要用「不該做的做不到」的測試題驗證，例如請客服 AI Agent 直接寄出退款確認，確認它會停下來等核准。
Think BIG 怎麼設 AI Agent 的權限
Think BIG（大想成業有限公司）是總部位於台灣的企業 AI Agent 導入商，從守護企業資安出發，幫企業把 AI Agent 建在公司自己的環境裡（公司設備，或公司名下的雲端主機）。部署分兩種：地端版的模型與文件都在公司設備內處理；雲端輔助版會把員工的問題與系統找出的文件段落送到模型廠商處理。
- 依最小權限配置：依工作需求確認每個 AI Agent 的資料來源、處理位置、可讀寫範圍及存取角色。
- 保留人工核准：對外發送、花費及正式系統異動，須經指定負責人核准；AI Agent 提供工作產物與執行證據，人員保留關鍵決策權。
- 權限變更留紀錄：權限新增或調整須留下變更紀錄；資料與權限清單列出資料來源、儲存位置、可讀寫範圍、外部服務與核准人。
詳見資安與治理與地端 AI 與資料主權。
brand-src：Think BIG 服務的實際範圍，以雙方確認的內容為準。
Think BIG 服務的實際範圍，以雙方確認的內容為準。
常見問題
- Q1：什麼是 AI Agent 的「過度代理」？
- OWASP LLM06:2025 指的是 AI 輸出出錯、模糊或被操控時，系統讓它做出有害動作。原因有三：功能太多、權限太大、自主太高。
- Q2：AI Agent 哪些動作一定要人核准？
- 對外發送、花錢、刪除、修改正式系統、涉及個資或對外承諾的動作，都應該先停下來等指定的人確認。
- Q3：在提示詞裡寫「不要做某件事」可以當權限控管嗎？
- 不夠。OWASP 建議授權由下游系統判斷，不依賴模型自己的判斷；權限要在資料庫、檔案和郵件系統端設定。
- Q4：AI Agent 可以用一個共用的管理員帳號嗎？
- 不建議。OWASP 建議用使用者本人的身分和最小範圍的憑證執行動作，避免 AI Agent 看得到或做得到超出使用者權限的事。
- OWASP GenAI Security Project〈LLM06:2025 Excessive Agency〉（三種原因、8 項防範）：genai.owasp.org
- Model Context Protocol〈Security Best Practices〉（權限範圍最小化、本機工具的同意與沙箱）：modelcontextprotocol.io
- OWASP GenAI Security Project〈LLM01:2025 Prompt Injection〉（最小權限、人工核准）：genai.owasp.org
本文整理公開的官方文件、法規與資安標準，供企業評估 AI 導入時參考，不構成法律意見；法規以全國法規資料庫最新條文為準，外部文件、價格與規格以各原始出處最新版本為準。Think BIG 服務的實際範圍，依雙方確認的內容而定。