AI Agent 能自动发邮件、退款吗？权限怎么分

聊天机器人答错一句话，你多半能看出来。Agent 不一样，它拿到工具以后，在错误理解下继续执行，会把判断错误变成真实后果。

下面这些动作影响大，而且很难撤销：

发送一封承诺赔偿的邮件
删除一个项目文件
给客户发起退款
修改合同状态
创建公开公告

这类动作要不要交给 Agent 自动做？答案是让自动化程度跟着风险走：风险低的放手做，风险高的先过人。

让动作先经过人，是最可靠的办法：Agent 负责整理依据、标出风险，人看一眼再点头，真正的执行由系统完成。

具体怎么分，可以把工具权限切成只读、草稿、执行三层，越往上，确认的方式越严；同样是新建一条待办，放在个人清单里可以自动做，发给整个团队就得重新确认。

还有一个常被忽略的细节：确认必须对应一份具体的动作，人确认了收件人和草稿 A，发送前换成了草稿 B，原来的确认就作废了。

01 让动作先经过人这一关

更可靠的方式是让动作经过人这一关：

Agent 生成建议
Agent 说明依据
Agent 标出风险
人确认
系统再执行

这样做的好处是，Agent 负责整理依据、标出风险，人负责看一眼再点头，真正的执行由系统完成。OWASP 在《LLM 应用十大风险》里把这类问题叫作“过度代理”（Excessive Agency）：模型对意外、含糊或被操纵的输出作出损害性行为。它给出的缓解建议里，就包括让高影响动作先经过人工批准，并把权限限制在最小范围。

02 权限分三层

你可以把工具权限分成三层：

入门阶段，我更建议先让 Agent 做只读查询和草稿。等你能把确认点、错误处理、权限边界、评估方式都写清楚了，再逐步放开执行权限。放开多少权限，就应能做相应的验证。

03 确认方式要与后果匹配

同样是“新建待办”，后果可能完全不同。在用户已授权的个人清单里新建一条可删除的待办，可以按约定自动执行；把同一条待办发给整个团队，就扩大了影响范围，应重新检查授权和确认要求。执行前还要核对这次行动的授权。

04 确认要对应具体的动作

人工确认针对的是一份具体方案，点一次“同意”覆盖不了后面的变化。人确认了收件人和草稿 A，发送前却换成另一组收件人或草稿 B，原确认就作废。执行前，要核对实际目标和内容；有变化，就按规则重新确认，确保确认和执行的是同一份方案。

写入结果也要核对状态究竟意味着什么。“已受理”可能只说明申请进入处理队列，到账情况要另行查询。报告里应保留申请编号和实际状态，查询确认已完成后，才更新为完成。发出请求、申请受理和退款到账是三个不同的状态，说话时要分清。

05 给自己的 Agent 检查一遍

动手前，可以用下面几句话检查一个动作该不该自动执行（想把判断写成更具体的规则，见Agent 防护栏怎么写）：

它会不会改变外部系统？
出错后能不能撤回？
这次行动有没有明确授权？
确认的内容和实际执行的内容是不是同一份？

四个问题里有一个答不上来，就先停在“草稿”这一层，让人来决定。