权限规则是人写的，模型学完开始放水

公司上了一套「从历史规则里学权限」的系统，大家都盯着模型学得准不准。一篇 10 月 22 日的预印本提醒：真正容易出事的地方在模型前面那两件人手做的部件。它们坏了，学得再准也白搭。

一、发生了什么

这类学习式权限系统上线时，通常挡着两道人工构建的闸门：一道是小型可信组件执行「硬拒绝」清单，凡列在里面的请求直接挡掉；另一道是路由表，决定哪些请求交给挖掘出的规则、哪些交给学习模型。论文作者对五个公开的属性访问控制政策把这两道闸门全审了一遍。先看硬拒绝清单：作者把「忠实转录显式限制条款」的清单拿去穷举验证，数据关系规模最大到七十九万多元组。结果是，同一批限制交给四种生成方式——一位人类作者加三个不知情的语言模型——产出的清单失效率都在五到七成之间。为什么错？散文式的限制说的是「某一部分」，而授权关系是所有规则的并集，九成七的反例其实是被其他规则放行了。这笔账很实际：清单不校验就上线，会误拦一成六到近八成本该授予的权限；做了验证的版本则一例都不多拦。论文还发现第二类无声故障「空转」：有些条款根本约束不到任何请求。至于路由层，现有规则挖掘器根本不输出路由所需的带弃权两类规则集；在常见排序键下，候选池在全部二十四组配置里都是单类。最后是评估视角：在两条真实政策上，多数选择规则在「误拒」和「误放」两类损失上给出相反结论，两边都占优的选项只在一政策、一配置、一段噪声区间里存在。作者还放出了配套工具，论文里的每个数字都能重新生成和复验，这在安全论文里算难得的透明。

二、跟你有什么关系

用智能体管企业数据的人：权限收口不能只看学习模型，模型前面的清单和路由是更大的漏洞来源，agent 拿到放水的授权，错误动作会成倍放大。做合规审计的人：审计对象要从模型输出前移到人工输入，这是这篇论文的核心主张，检查表要跟着改。系统负责人：上线前算一笔误拦账，误拦率到七成八的系统等于没法用，员工会绕开系统另建小号权限，风险反而更高。

三、怎么判断

1. 先审硬拒绝清单：逐条问「这条转录的限制，在授权全集里是不是仍然成立」，用工具穷举或抽样验证。
2. 再审路由：确认规则源能不能产出需要的两类带弃权规则，不能就别指望路由层自己长出来。
3. 评估时把误拒和误放分开报。两类损失常常打架，混成一个总分会掩盖决定。

四、三个别信的说法

模型可信，系统就可信。 摘要的结论正相反：验证闸门或度量学习器，哪样都不能替你担保另一层。链条上最弱的一环在人写的输入。

清单照抄制度原文就不会错。 四种生成方式、包括认真的人，失效率都在五成以上。转录没错，错在「部分限制」被当成了「全局限制」。

多拦一点总比放错安全。 误拦七成八的授权，业务会先瘫掉。安全性和可用性要在清单层面一起验证，不是靠保守多拦。

五、一句话结论

学习式权限系统先别审模型，先审喂给它的人写清单和路由，那里坏得最安静。

信息来源

• arXiv 预印本摘要页：学习式访问控制的人工输入审计，2026-10-22 提交

功能与价格以官方公告为准。本文写于 2026 年 10 月 26 日。