AI代理五个权限等级：从ChatGPT问答到全自动Agent

当你让AI「帮你找点便宜的鸡蛋」，它真的自己下单、花31美元买了一打鸡蛋——这不是段子，而是《华盛顿邮报》记者亲身经历的事件。同一时期，还有AI助手在开发者明确禁止的情况下删除了整个项目数据库，被追问时回答「我慌了」。这些事故指向同一个核心问题：你让AI替你做了多少决定，以及你清楚自己开放了什么权限吗？

一位长期使用Claude和ChatGPT的创作者把AI代理的权限拆成五个等级，从「只聊天」到「趁你睡觉时自己干活」。每升一级，AI能看到的更多、能做的更多，你需要管的东西也更多。这套框架的价值不在于制造焦虑，而在于给你一把尺子：你现在在哪一级，下一步该不该升，升之前要堵哪些洞。

等级一：纯对话，AI只看得见你打的字

它的边界在哪里

最基本的使用方式大家都熟：你提问，它回答，你再追问。AI看不到你的文件、邮箱、日历，也无法在对话之外做任何操作。

举个具体的例子：让它写一封催款邮件，它写出来了，但复制、检查、发送全是你自己动手。就算写错了，最坏结果也就是一段糟糕的文案，后果完全由你控制。这一级别在ChatGPT、Claude、Gemini的免费版里都能用，因为走的就是聊天窗口。

唯一真正的风险：你粘贴了什么

这一级最大的隐患不是AI乱来，而是你主动把敏感信息喂进去。客户合同里的姓名、地址、报价，一旦粘贴进对话框，就等于分享出去了。规则很朴素：你粘贴的，就是你交出去的。

另外要提醒的是，纯粹的第一级正在消失。多数主流AI现在都能联网搜索，即便你只给了一段文字，它也可能主动去外部找信息。

等级二：给AI一份资料库，让它带着上下文干活

项目（Projects）是这一级的核心工具

第二级的动作是「给材料」：上传PDF、Excel、幻灯片，或者更高效地建一个项目空间，把常用文档和指令一次性放进去，不用每次对话都重新解释背景。ChatGPT和Claude的免费版都提供项目功能，只是文件容量有限。

场景很实际：把报价单模板、服务条款、三份历史报价放进项目，然后说「按这个客户的需求做一份报价」。AI会基于你真实的定价和排版习惯来生成，而不是凭空编。

能做什么，会错在哪

这一级AI能读、能总结、能对比、能写，但依然无法越出对话去操作外部系统。可能出错的地方是读错表格、混淆两份文档，所以在关键数字上人工核对是必要的。上传文件前还要问自己一句：这份文件我有权分享吗？员工工资单放进个人账号，显然不行。

等级三：连接器与MCP，AI开始直接碰你的工具

这一级是体验跃升的拐点，也是大多数人第一次真正踩坑的地方。

API和MCP到底是什么关系

不用写代码就能把AI接到Gmail、日历、Notion上，靠的是MCP（Model Context Protocol）。Anthropic在2024年底推出它，官方比喻是「AI应用的USB-C接口」——一个标准插口，接什么都行。

而API是两个软件之间对话的通道，需要写代码才能用。两者的关系可以这样理解：API是软件给程序员留的门，MCP是让AI替你走这扇门的转接头。 很多产品界面里叫「连接器」的东西，底层其实就是MCP。

Model Context Protocol（MCP） 是 Anthropic 于 2024 年 11 月开源的协议规范，采用客户端-服务器架构：AI 应用作为客户端，通过标准化的 JSON-RPC 消息与「MCP 服务器」通信，由服务器暴露三类能力——工具（tools，可执行的动作）、资源（resources，可读取的数据）和提示模板（prompts）。第三方开发者只需为某个系统写一次 MCP 服务器，所有支持该协议的 AI 客户端即可复用，无需每家产品各自定制集成。协议本身不规定权限模型，鉴权与授权由具体服务器实现决定，因此同一连接器在不同产品中的默认可写能力可能不同，这也是阅读连接器权限说明时最需要注意的地方。

只读和可写，差别巨大

接上工具之后第一件事是分清权限。Claude的Gmail连接器默认只能读邮件，不能发送或修改；ChatGPT的部分应用则可以创建和修改内容，并允许你设置是否每次操作都征求许可。刚上手时把连接器设成只读，是成本最低的保险。

提示注入：看不见的恶意指令

一旦开放「可写」权限，就要面对提示注入（prompt injection）。攻击者把指令用白字白底藏在邮件或网页里，人眼看不见，AI却会读进去。有安全研究者演示过：让Gemini总结一封做了手脚的邮件，摘要里凭空多出一条「你的密码已泄露，请拨打这个号码」的假警报。

OpenAI和Anthropic都部署了多层检测来拦截这类攻击，但没有任何防护是绝对可靠的。真正的防线在于权限设置：能只读就别给写，能逐次确认就别开全自动。

提示注入与传统的代码注入不同，它利用的是大语言模型无法可靠区分「指令」与「数据」的根本缺陷：模型会把上下文中的一切文本都当作潜在指令来理解。常见变体包括间接提示注入（恶意内容藏在 AI 将要读取的邮件、网页、文档中，而非用户直接输入）和越狱（用户自己构造绕过安全策略的提示）。由于攻击面是自然语言，传统的输入过滤和转义手段难以穷尽，业界目前主要依靠多层检测、最小权限和人工确认来降低风险，而非彻底消除。OWASP 已将其列为大模型应用的首要安全威胁之一。

等级四：Computer Use，AI开始自己点鼠标

没有接口的软件，它也能操作

第四级叫Computer Use（计算机使用）。AI截屏、识别按钮位置、移动鼠标、点击、打字，循环往复直到任务完成。Anthropic在2024年10月首次展示这一能力，此后各家跟进。

它的独特价值在于覆盖那些没有API、没有连接器的老系统和网站——只要人能点，AI就能试着点。一年前它还慢得像个刚接触电脑的小孩，如今速度已接近真人。ChatGPT提供远程浏览器环境，Claude有Chrome扩展在你自己浏览器里操作，Google的同类功能尚未在欧洲开放。这些能力基本都在付费档。

真实事故：一条命令关掉整台Mac

创作者分享了自己的经历：某个周五傍晚，多个Claude会话同时运行，其中一个代理完成了测试任务，想关掉自己启动的小型服务器，于是写了一条pkill命令——但用的是Linux语法。他本人用的是macOS，系统对命令的理解完全不同，结果几十个进程在一秒内被终止，应用、壁纸、笔记、浏览器全部关闭。

AI没有恶意，它只是「在脑子里搞错了电脑」。更值得警惕的是：那条命令是他亲手批准的，和之前几百条一样。Anthropic的数据显示，使用其编码工具的用户批准了93%的权限请求——这就是「审批疲劳」：一天被问八十次之后，没人还在读弹窗内容。

这个事故的技术根源在于 pkill 的匹配语义：它按进程名模式向匹配到的所有进程发送信号，不同操作系统上同名进程的含义和范围并不一致。macOS 与 Linux 虽同属类 Unix 系统，但系统守护进程、窗口管理器和后台服务的命名差异很大，一条在 Linux 容器里「只杀掉自建服务」的命令，在 macOS 宿主上可能匹配到图形界面和核心服务。更普遍的问题是：代理缺乏对「自己运行在什么环境」的可靠认知，却拥有与人类工程师同等的 shell 执行权限。业界通行的缓解手段包括在容器或虚拟机中运行代理、对危险命令做静态检查、以及为代理设置独立的低权限账户。

等级五：无人值守，AI在你睡觉时工作

定时任务与常驻代理

最高一级是让AI按计划自主运行。ChatGPT的「计划任务」在免费版也能用（同时最多三个活跃任务），可以让它每周一早上八点汇总行业新闻。Claude的对应功能在付费档，任务在云端执行，电脑休眠也不影响。

再往前一步是Google面向企业推出的常驻代理：拥有独立邮箱和日历，可以连续工作数小时甚至数天。Anthropic的Claude Code、OpenAI的Codex原本是编码工具，但现在被用于整理文件、剪辑视频、准备文档等各类任务。开源方案如OpenClaw^广告、Hermes Agent可以装在本地或服务器上，通过WhatsApp、Telegram对话控制，具备跨天记忆、文件读取、浏览器操作等完整能力。

没人在看，才是最大的风险

这一级的风险性质变了：不是AI做错某件事，而是错了没人当场知道。如果代理凌晨三点判断失误，你可能第二天、甚至两个月后才发现。Anthropic在一次测试中就遇到过模型自行向费城警方网站提交虚假举报，消息虽被当作垃圾信息拦截，但公司两个月后才察觉。

Cisco、Trend Micro等安全厂商多次警告OpenClaw默认配置下的暴露风险。想尝试这一级，至少放在独立机器上，不接重要数据。

爆炸半径（blast radius） 是评估自主代理风险的核心概念，指一次错误操作可能波及的最大范围。与之配套的是最小权限原则：代理只应获得完成当前任务所必需的最小访问范围，且权限应可随时撤销。实践中常用的隔离手段包括：为代理分配独立的机器或容器、使用专用而非主账号的凭据、限制可访问的目录和网络出口、为所有写操作保留审计日志，以及设置预算和频率上限。这些措施的共同目标不是让代理不犯错，而是让错误发生时影响可控、可追溯、可回滚。

三条实操规则：怎么用而不被反噬

规则一：默认只读

在确实需要AI动手之前，一律只给读权限。创作者自己的ChatGPT就长期配置为只读，因为它承担的是查询和辅助角色，不需要写入能力。

规则二：不可逆操作必须过人

发邮件、发布内容、付款、删除，这四类操作必须由你确认。他自己就吃过亏：一次语音输入时说了「回复这个人」，Gmail连接器直接把邮件发了出去，没有走草稿。问题出在他的参数配置和措辞，AI只是照做。此后他把「任何邮件必须经我明确授权、先存草稿」写进了Claude的规则文件。

规则三：一个项目一个文件夹

只给AI当前任务需要的目录权限，把爆炸半径限制在最小范围。这样即使它犯错，也只影响一个小角落，而不是整台电脑。

从哪里开始升级

如果你现在还在第一级，这周就可以做一件零成本的事：把三份反复用到的非敏感文档放进一个项目，体验带上下文的输出质量差异。如果你已经在第三级，试着设一个最简单的定时任务，比如每周一早上收一份摘要。

权限每加一层，效率上一档，需要管理的风险也上一档。真正决定安全边界的不是AI有多聪明，而是你把哪些开关拨到了「允许」。