能查询生产记录的智能体，不应因此获得修改订单的权限。智能体会根据用户问题选择工具，但工具调用一旦连接业务系统，就从“生成回答”变成了真实的系统访问。最小权限机制的核心，是让每次调用只拥有完成当前任务所必需的数据范围和操作能力，而不是让智能体长期持有一个权限宽泛的系统账号。
权限设计要先拆开“能看到”与“能执行”。解释工艺文件，可能只需要读取获准检索的文档；生成采购建议，可以使用获准的数据形成草案，却不等于有权提交采购操作。即使同一工具支持查询和写入，也应按调用者身份、当前任务、目标数据和具体动作分别判断，不能因为工具已接入，就默认放行它的全部能力。
授权还应在调用发生时生效，而非只在对话开始时检查一次。用户提出新要求、智能体从检索内容中读到操作建议，或准备从查询转向修改状态，都不能自动扩大权限。对于写入、提交、发送等会改变业务状态的动作，应在执行前展示操作对象与拟执行内容，并由有权人员确认。无法确认授权边界时，拒绝执行比让模型自行判断权限更可靠。
落地时，业务部门负责界定哪些操作需要人工决定，数据责任部门确定可访问范围，技术团队则在身份认证、工具网关和业务系统之间落实校验与审计。记录应能追溯是谁发起任务、智能体调用了什么工具、访问了哪些对象，以及操作是否经过确认。这样即使回答内容有误，也能限制错误从文本扩散为越权执行。