一次 Agent 删除了错误的数据分区。事故复盘时，审计平台拿当前角色去查，结论是“没有删除权限”。这并不能证明当时的请求被拦截，也不能说明是谁授权的：角色、组织关系、策略和资源标签可能都已变化。
权限审计要回答的是历史问题：在那一刻，哪个主体代表谁，以什么目的，对哪个版本的资源发起了什么动作，策略根据哪些事实作出允许或拒绝。只存用户名和 HTTP 200，根本还原不了这条链。
邓明瑞 / 纯粹
Agent 工具默认最小权限：能力要按 Run 和 Step 临时授予
Agent 接了十个工具后，最省事的做法是给运行服务一个能访问十套系统的账户，再靠 Prompt 告诉模型“只做用户允许的事”。这会把服务账户的最大权限变成每次对话的潜在权限，任何 Prompt Injection、对象误选或编排 bug 都能放大影响。
我希望权限按 Run 和 Step 临时收敛。当前用户、当前任务、当前步骤真正需要什么能力，就签发什么短时 capability。服务账户只是基础设施连接身份，不代表模型自动拥有它能做的所有事。
