AI 让有权限和已执行之间的那段距离消失了。企业软件下一场竞争比的不是谁跑得更快而是谁停得更准。引子一张没有例外的通行证有一个流传很广的故事。列宁前往斯莫尔尼宫开会门口的卫兵不认识他按规定要求出示通行证。随行的人提醒这是列宁同志。卫兵没有让步——没有通行证不能进。列宁没有责怪他反而肯定了他的做法。这个故事过去常被用来说明制度高于个人。但放到今天,它值得被重新读一遍。因为卫兵真正守住的,并不是一扇门。他守住的是一条更根本的边界:身份不能直接兑换成执行权。一个人的职位再高、权限再大、声望再强,也不能跳过已经设定好的执行条件。而这恰恰是今天大量企业软件、AI Agent 系统和自动化平台,正在悄悄丢掉的东西。一、摩擦,曾经是最好的安全系统过去几十年,企业信息系统解决的核心问题,基本可以归结为身份与权限。你是谁?属于哪个部门?拥有什么角色?是否登录?是否是管理员?是否走完了审批?这套体系背后有一个从未被明说的假设:只要身份真实、权限有效、流程走完,接下来的操作就可以发生。在人操作软件的年代,这个假设大体成立。不是因为它严密,而是因为它有一层免费的保护——人本身的迟缓。一个管理员拥有删除全部账号的权限,并不意味着他会在一秒内删掉一万个。一个财务负责人拥有付款权限,也不意味着他会在无人干预的情况下,自动生成收款账户、调用银行接口、完成转账。人的时间、注意力、知识储备和手速,构成了一层天然的摩擦力。审批要等,邮件要写,表格要填,系统要切换。每一次等待,都是一次隐性的复核机会。过去几十年企业安全真正的支柱,从来不只是防火墙和权限矩阵,还有人类的迟钝。现在,这层摩擦正在被系统性地清除。而清除它,恰恰是 AI Agent 被购买的理由。二、AI 把有权限压缩成了已执行Agent 与传统软件最大的区别,不只是它能听懂自然语言。更关键的是,它可以连续行动。它可以读邮件、总结上下文、检索数据库、调用接口、生成参数、创建订单、修改权限、提交请求、触发审批,甚至指挥另一个 Agent 接着往下做。过去需要七个人、五个系统、三天时间才能走完的链条,现在可能在一句话之后自动完成。帮我处理这批到期合同。——Agent 检索合同、识别供应商、判断续约条件、生成付款申请、发出确认邮件、调起财务系统。把服务器故障处理一下。——Agent 改防火墙、重启服务、更新访问策略,甚至切换生产环境。优化一下云成本。——Agent 关掉闲置实例,也可能关掉一个仍在承载流量的关键节点。这不是假想的风险。2012 年 8 月,美国做市商骑士资本(Knight Capital)因为一次部署失误,系统在约 45 分钟内自动发出海量错误订单,亏掉约 4.4 亿美元,公司实质上被这 45 分钟终结。2017 年 2 月,AWS 一名获得完整授权的工程师在执行标准运维脚本时输错了一个参数,下线的服务器远超预期,导致 S3 大面积中断,半个互联网跟着停摆。这两起事故里,没有黑客,没有越权,没有身份伪造。每一步都是合法的。企业今天面对的问题,已经不再只是AI 会不会理解错。真正的问题是:AI 的理解,为什么能够如此迅速地进入现实?传统系统关心的是谁有权发起请求。AI 时代必须追问下一句:拿到权限之后,谁有权让最终结果发生?三、权限通胀:Agent 正在成为公司里权力最大的员工企业部署 Agent 时,最省事的做法是给它一个服务账号。然后事情开始自然生长。读文件要一个权限,访问邮箱要一个权限,调内部系统要一个权限,创建订单、改配置、提交审批,又各要一批权限。每一次扩权都有充分理由,每一次都只是再加一个。半年后,企业得到了一个极其高效、极其聪明、同时握有全公司最宽权限集合的自动执行者。它不会请假,不会疲劳,不会在深夜犹豫,不会因为这事有点奇怪而多问一句。它没有入职背调,没有绩效面谈,没有离职交接,也几乎没有人定期审视过它到底能碰到什么。企业以为自己招了一个实习生,实际上发出去的是一张董事长的门禁卡。权限很少是被授予的,它是被一次又一次再加一个就好累积出来的。这时,传统权限模型最危险的那个假设终于暴露:系统把谁有权发起请求,当成了谁有权让结果发生。这两件事从来不是一回事。CEO 可以提出关停一条业务线的意图,但这不意味着一句话就该立刻删掉所有相关数据。管理员可以申请修改生产配置,但不意味着任何修改都应被无条件放行。四、真正的问题不是你是谁,而是你要让什么发生即便请求来自真人、使用真实账号、走完真实审批,执行对象依然可能是错的。收款账户可能在流程中途被替换。审批页面上的摘要,可能和最终提交的 payload 并不一致。合同里的供应商没错,但系统实际付款的对象已经变了。目标服务器可能被重新绑定。最终扣款金额,可能与审批时看到的数字不同。这正是商业邮件欺诈(BEC)每年造成数十亿美元损失的机理——攻击者几乎从不去破解权限系统,他们只是让一个拥有合法权限的人,把钱付给一个错误的账户。身份认证回答的是这个请求是不是来自真人,它从来没有回答过这件事是不是应该发生。真实的身份,完全可以发起错误的执行。五、审批的幻觉:人在回路,不等于人在控制面对这些风险,大多数企业的第一反应是加审批:让 Agent 先生成操作,再由人确认。Human in the loop——听起来问题解决了。但它常常只是把风险包装得更体面。如果审批人看到的是一段摘要,而最终执行的是另一组完整参数,这个审批只在形式上成立。如果页面显示向供应商付款,却没有清晰列出账户、金额、币种、合同编号和付款批次,审批人同意的只是一个概念,不是一笔交易。如果审批之后,Agent 仍然可以重新生成 payload、替换目标对象、微调某些参数,那么审批与执行之间就裂开了一道缝。审批人批准的是 A,系统最终执行的是 A′。传统日志能证明有人点过同意,却未必能证明他看到的内容与最终发生的结果完全一致。日志证明了有人同意,却不一定证明他同意的,就是后来真正发生的那件事。人在回路,只有在那个人真正看见了即将发生的东西时,才配叫回路。这也是 Agent 体系里最容易被忽略的一类风险:AI 未必会绕过审批,它只是让审批继续真实存在,同时让审批失去对结果的约束力。未来的企业系统不能只记录谁批准了,还必须能够证明:批准了什么;当时看到了什么;对象是谁;最终提交的对象是否相同;执行前是否重新做过绑定校验;执行后是否留下不可抵赖的证据。这已经不是工作流问题,而是执行控制问题。六、Owner 悖论:系统里不应该有上帝几乎所有企业系统都留着一个默认角色:Owner。Owner 可以改权限、重置策略、关闭限制、替换管理员、删除记录,甚至绕过部分审批。这让系统好维护,也留下一个根本性的裂缝:如果所有规则最终都能被同一个身份改掉,那这些规则还算边界吗?能被同一个人随手关掉的规则,不是边界,只是建议。当 Agent 拿到 Owner 级授权,或者有能力说服 Owner 完成某个操作时,系统里最重要的限制会被合法地关闭。整个过程不会触发任何告警,因为它在技术上完全合规。攻击者不需要突破系统。他只需要拿到一个足够高的身份,或者让那个足够高的身份相信,这件事很合理。所以真正的安全边界不能完全服从单一身份。哪怕是系统所有者,也不该拥有随时取消所有底线的能力。这不是削弱企业的控制权,恰恰相反——它意味着企业提前把绝对不能接受的后果固化成组织自己也无法轻易突破的约束。核武器发射需要两个人同时转动钥匙,不是因为不信任军官,而是因为这件事的后果不可撤销。在企业里,同样的原则可以落成几条硬性规则:单一管理员不能独立转移关键资产;生产环境的安全校验不能被远程永久关闭;审批通过后的关键对象不能被重新绑定;高风险执行必须满足多个相互独立的证据来源;系统在异常状态下默认停止,而不是继续猜测。真正的治理,不是让最高权力可以做任何事,而是让任何权力都不能轻易做错事。七、越聪明的上层,越需要一道笨的闸门未来几年,Agent 只会越来越强:更长的上下文、更强的推理、更多的工具、更高的自主性、更复杂的多智能体协作。这是不可逆的趋势,也没有必要逆转。但系统越聪明,最后一道边界越应该保持简单——甚至保持笨。因为智能的本质是灵活,而灵活正是边界最不需要的品质。越擅长理解上下文的系统,越容易被上下文说服。越擅长处理例外的系统,越容易为一次危险操作找到一个听起来很合理的解释。最后一道闸门不需要理解业务全貌,它只需要核对少数几件事:金额是否超限;目标对象是否与审批对象一致;多个授权来源是否真正独立;证据是否完整;时间窗口是否有效;设备与环境状态是否可信;关键参数在执行前是否被改动过。这些判断不需要创造力,也不该依赖临场发挥。它们需要的是确定性、可验证性,以及不可绕过性。就像门口那个卫兵。他不需要比列宁更懂国家大事,也不需要比参会者更了解当天议程。他只需要确认一件事:通行条件满足了没有。这种笨不是能力不足,而是职责清晰。智能负责寻找路径,边界负责决定哪些路径永远不通。八、下一个赛道:从管理权限到控制结果过去,企业软件主要管理过程——谁创建任务、谁提交表单、谁完成审批、谁修改记录、谁拥有角色。这套能力依然重要,但已经不足以约束自主执行的系统。下一代核心系统必须管理结果。它要回答的是另一组问题:什么结果允许发生?什么结果永远不能发生?哪些操作必须同时满足多个独立条件?哪些对象在审批后不可替换?哪些关键参数必须由独立来源交叉确认?当信息缺失、冲突、过期或无法验证时,系统是继续执行,还是默认拒绝?这会催生一类新的基础设施。它不替代 Agent,不替代身份系统,不替代审批平台,也不替代业务系统。它站在这些系统与真实世界之间,只做一件事:在结果落地之前,独立核对一次。在这套架构里,分工被重新定义——AI 的判断只是输入,不是最终权威。 管理员的权限只是请求资格,不是无条件执行许可。 审批结果只是必要证据之一,不是全部条件。而最后那一层,必须有能力独立说不。对整个行业来说,这意味着竞争标准的迁移。过去十年,企业软件比的是流程跑得多快、自动化覆盖多广、人力替代率多高。下一个十年,买方会开始问一些更不客气的问题:出事的时候,你能证明什么?过去十年企业软件比谁跑得更快,下一个十年要比谁停得更准。AI 时代最稀缺的能力,不是让系统执行,而是让系统在不该执行的时候停下来。自动化可以拥有能力,但不应该拥有无限扩张的权力。九、给管理者的五个问题如果你正在把 Agent 接入真实业务系统,以下五个问题值得在下一次评审会上被逐条回答:哪些结果,在任何情况下都不允许发生?如果答不上来,说明你的系统还没有边界,只有流程。审批人看到的,是不是最终执行的那份 payload?摘要与实际参数之间的每一处差异,都是一次未被授权的授权。审批之后,关键对象还能被重新绑定吗?收款账户、目标服务器、合同编号——审批的瞬间就应该被冻结。异常状态下,系统默认继续还是默认停止?默认继续的自动化,本质上是在用你的资产做概率游戏。谁能关掉上面这四条规则?如果答案是一个人,那你其实一条都没有。尾声:从一张通行证,到执行秩序列宁与卫兵的故事之所以被记住,不是因为查证件这件事有多复杂,而是因为它展示了一种罕见的秩序:权力愿意接受边界,规则不因身份消失,执行者不必揣摩上级意图,系统不会把特殊身份自动兑换成特殊通道。今天,当 AI 开始代替人访问系统、调用工具、生成交易、修改配置,并直接改变现实世界时,这种秩序比过去任何时候都更重要。这不是对 AI 的不信任,也不是对管理权力的否定。它只是承认一组基本事实:人会犯错,AI 会犯错,管理员会被欺骗,审批会被诱导,系统会出异常,身份会被盗用,上下文会被污染——而现实世界中已经发生的执行结果,往往无法撤销。所以 AI 时代最重要的制度创新,可能不是赋予机器更多权力,而是重新建立权力进入现实之前必须经过的那道关口。真正可靠的系统,不会因为门外站着的是列宁,就自动把门打开。它尊重身份,但只服从条件。这大概正是 AI 时代的企业软件,需要重新学会的一课。