agent 该拿多少权限：一份开源项目的清单

担心 agent 把你的信息发错地方，光靠「别乱来」的提示词解决不了。真正决定它能不能发出去的，是它手里有什么。

一、发生了什么

GitHub 上的开源项目 Talorys 是一个单用户的个人 AI 助手，跑在用户自己的 Cloudflare 账号里，作者是 Roc Yu。它没有服务器、没有账号体系、没有遥测，核心功能在断掉 AI 之后仍然可用。

值得看的不是功能，是它的安全模型文档。它把「agent 能做什么、不能做什么」写成了硬规则：

删除类的工具——删任务、删笔记、忘掉记忆、取消自动化、整段替换笔记内容——不允许在 agent 自己的回合里执行。它们只能生成一个「提案」，由本人在界面上点按钮批准，每个提案最多执行一次。提案还绑定它被展示时的那个版本，如果这期间条目被改过，批准会直接失败。

修改也有限制。更新笔记只能改名或追加，不能删字；更新记忆会把新说法存成一条新记忆，旧的保留为「过去的事实」，agent 无法自己抹掉历史。

定时运行的 AI 任务，只拿到只读工具和一个「通知本人」的工具。项目里没有 shell、没有代码执行、没有对外 HTTP 请求、没有凭据管理、没有部署工具。

此外还有几层：每次请求有工具调用次数、单工具上限、重复调用检测、推理步数、输出与上下文 token 的限制；每天有 AI 请求总量上限；备份文件被当成不可信输入，导入的新自动化默认暂停，导入的消息被标记，记录过的批准会被剥掉，不能算作本人的输入；远程访问用只存哈希的 token，明文只显示一次，最多 20 个。

二、跟你有什么关系

自己在搭 agent 的人：这份清单可以直接当检查表用。把你 agent 手里的工具列出来，逐个问一句：这个动作如果做错了，能不能撤销。

公司里给 agent 开权限的人：最危险的不是模型能力，是它继承的那份凭据。给 agent 一个管理员账号，等于把前面所有设计作废。

普通用户：选 AI 工具时，看它敢不敢公开权限说明。愿意写清「我们不碰什么」的产品，通常比只强调「我们很聪明」的更值得信任。另一条更简单的判断：看它有没有把删除、发送这类动作做成「需要你再点一次」。

三、怎么用：四条最小可用原则

1. 先列动词，再谈能力。 读、写、删、发、付、改权限——按这六类把 agent 能做的事过一遍。删除、发送、付款三类，一律改成「提案 + 人工确认」。

1. 把不可逆的动作挡在模型回合之外。 关键不是加一句「请谨慎」，是让它在结构上做不到。提案机制之所以有效，是因为执行发生在另一次带认证的请求里。

1. 默认不给出口。 没有 shell、没有外连、没有凭据读写，能砍掉大部分事故。确需联网的，用白名单，而不是让模型自己决定访问哪个网址。

1. 把备份当敌意输入。 恢复一份别人给的配置，等于让对方的设置进入你的系统。新自动化默认暂停、审批记录不随备份恢复，这两条值得抄。

四、三个别信的说法

「本地部署就安全了。」 这台机器上跑的东西如果拿着你的 token，能访问你的邮箱和网盘，它和你把数据交给云厂商没有本质区别。安全边界在权限，不在机房位置。

「提示词里写清楚就行。」 系统的提示词里已经把这些内容标为「数据」，但真正的保护来自工具层的限制。提示词会被注入攻击绕过，代码里的权限检查不会。

「给足权限才好用。」 权限越大，agent 越容易在你没预料到的地方替你「顺手办了」。这份清单的可取之处在于，它先接受「有些事情必须我自己点一下」，再谈自动化能省多少时间。

五、一句话结论

agent 的安全不取决于它多聪明，取决于它做错事时最多能造成多大伤害。

信息来源

• GitHub：Talorys 项目及其安全模型文档（作者 Roc Yu），访问于 2026-10-17：https://github.com/rociiu/talorys

功能与价格以官方公告为准。本文写于 2026 年 10 月 17 日。