企业智能体的权限边界，不能用“能否访问内网”简单定义。真正需要控制的是一条完整的执行链：谁发起任务、智能体依据什么数据判断、调用了哪个工具、执行了哪些动作，以及最终修改了什么业务数据。只要其中一个环节缺少身份识别、授权约束或审计记录，智能体就可能从“自动化助手”变成不可追责的高权限操作入口。
权限边界应分层设计
企业至少需要区分用户身份、智能体身份、工具身份和业务数据权限。智能体继承的不是开发人员权限，也不应因为自动化而绕过原有审批。用户可以提出业务目标，但智能体能否检索某类数据、调用某个接口、执行某项变更，必须由独立的权限策略决定。
权限控制还应绑定业务场景，而不是只绑定角色名称。例如，智能体可以读取采购订单、库存和供应商交付记录，却不必因此获得修改订单或发送外部通知的权限。查询、建议生成、低风险操作和高风险执行应采用不同授权等级；涉及付款、合同生效、客户通知、库存调整等动作时，应设置人工审批、二次确认、额度限制或时间窗口。
从“可调用”转向“可控执行”
工具中心应记录接口参数、权限范围、版本、责任人、调用超时和失败重试策略。智能体每次调用工具，都应在执行前校验用户身份、任务上下文、数据范围和动作风险；执行后还要验证系统返回结果，避免接口异常被误判为成功。
权限边界不能只依靠提示词。生产级编排需要支持任务暂停、异常重试、状态保存、人工接管和结果回放。对于批量操作或外部发送，应限制单次处理范围，并保留完整审计链。审计记录至少要能够还原：谁发起任务、哪个智能体作出判断、调用了哪个工具、访问或修改了哪些数据。
企业可先从单一流程建立权限矩阵，明确可读数据、可用工具、可执行动作、审批节点和异常处理路径，再逐步扩大自动化范围。只有当权限策略、业务流程和审计机制同步建设，智能体数量增加才不会演变成权限失控。