企业给 AI Agent 配知识库，最容易出事的地方不是模型答错，而是权限穿透。Agent 一旦以“服务账号”或“个人身份”跑起来，绕过了组织权限体系，就能把 A 部门的合同、B 部门的人事数据、C 部门的未公开财报一起读出来。要避免越权访问，关键不是靠模型自觉，而是把 Agent 绑定到企业身份、继承上级部门权限策略，并把每一次知识库访问写进审计日志。
AI Agent 为什么会读到它不该读的文档
普通员工访问知识库，走的是企业身份认证。登录以后，系统知道你是谁、属于哪个部门、能看哪些目录、不能碰哪些受控文件。
AI Agent 的问题在于，它经常被当成一个“工具”单独部署。开发阶段图方便，用一个高权限账号跑通全库检索；上线后又忘了收回权限。结果就是：Agent 能读到全公司的知识库，但使用它的人可能只是一个新入职的销售。
还有一种情况更隐蔽。Agent 调用的是向量检索结果，不是直接打开文档。很多企业以为“只返回片段”就等于安全，但实际上，片段本身就可能包含报价、薪资、客户名单。权限兜不住，检索就成了泄露通道。
第一步：先绑定企业身份，而不是给 Agent 单开账号
配置知识库权限继承，第一步是让 Agent 使用调用者的身份去访问知识库，而不是使用 Agent 自己的身份。
企业架构师需要确认三件事：
- Agent 是否支持身份传递。调用者登录企业系统后，Agent 拿着这个身份再去请求知识库，而不是用一个固定服务账号。
- Agent 是否能绑定组织单元。把 Agent 关联到具体部门或项目组，让它继承该组织单元已有的权限边界。
- Agent 是否支持临时授权。对于跨部门查询、审批流调用，走一次性授权或短时授权，而不是长期开放。
只有完成这一步，后面的权限继承才有意义。否则权限策略再细，Agent 用一个万能账号跑，照样越权。
第二步：继承上级部门的权限策略
知识库权限不是给 Agent 单独“重新配一套”，而是继承已有的组织权限。
常见的配置方式是：
- 部门目录权限。财务部的人只能读财务目录，Agent 调用者属于财务部，就继承同样的目录边界。
- 文档密级策略。受控文档按“公开、内部、机密、绝密”分级，Agent 继承调用者能看到哪一级。
- 字段级脱敏规则。部分文档允许检索，但薪资、身份证号、手机号等字段必须脱敏后再返回。
- 资料源白名单。只允许 Agent 检索明确授权的知识源，未列入白名单的一律拒绝。
这里有一个容易被忽略的点：知识库的权限继承要和源系统保持一致。如果知识库是从 Confluence、SharePoint 或内部网盘同步过来的，源文档改了权限，知识库必须同步更新。否则会出现“源文件已经收紧，Agent 还在读旧版本”的情况。
第三步：审计日志必须记录“谁、在什么时候、通过哪个 Agent、读了什么”
权限配置只是第一道闸门。企业安全负责人还需要回答一个问题：如果出了事，能不能追溯？
审计日志至少要记录五个要素：
- 调用者身份。真实员工或系统账号是谁。
- Agent 身份。这次访问是通过哪个 Agent 发起的。
- 访问时间。精确到秒，并保留时区信息。
- 命中的知识库条目。检索返回了哪些文档、哪些片段。
- 权限决策结果。这次访问是允许、拒绝，还是走了临时授权。
日志格式要结构化，不要只存一段自然语言描述。企业架构师在配置阶段就应该定义好日志字段，否则后面审计时根本查不动。
适合什么企业先做这件事
三类企业最应该优先配置：
- 已经上线或准备上线 AI Agent，但知识库里存在跨部门受控文档的企业。比如合同、报价、人事档案、研发资料分布在不同目录。
- 合规要求严格的企业。金融、医疗、法律、人力资源服务行业，需要对每一次数据访问有据可查。
- 组织架构复杂、权限经常变动的企业。部门合并、项目组调整、外包人员进出频繁，权限策略必须跟着身份走。
如果企业目前只有公开的 FAQ 知识库，所有内容全员可读，权限问题暂时不突出。但只要知识库里开始沉淀经营数据、客户信息、内部决策文件，就必须提前做权限治理。
常见误区：以为模型能自己判断该不该回答
一个很危险的假设是：给 Agent 写个提示词，告诉它“不要回答权限外的问题”，就万事大吉。
模型判断权限靠的是上下文和语义理解，不是真正的访问控制。只要文档进了检索池，模型就可能答出来。提示词约束可以被绕过，权限约束不会。所以这个问题的正确做法是：在检索阶段就过滤掉无权访问的内容，而不是等模型拿到内容以后再判断。
另一个误区是把 Agent 当成“人”来授权。有些企业给 Agent 单独分配一个高级权限账号，图省事。正确的做法是，Agent 永远不拥有高于调用者的权限。调用者看不到的，Agent 也看不到。
交付成果与验收方式
一个完整的 Agent 知识库权限配置，交付物应该包括：
- 权限配置表。列出每个 Agent 绑定的组织单元、继承的目录范围、可访问密级、白名单知识源。
- 审计日志字段定义。明确日志格式、保留周期、导出方式。
- 权限回归测试用例。至少覆盖五种场景：本部门公开文档、本部门受控文档、跨部门受控文档、源系统权限变更后的同步、临时授权到期后的行为。
- 上线前检查清单。逐项确认身份传递、权限继承、脱敏规则、日志记录都已生效。
验收方式建议用“越权尝试”来验证。由安全负责人指定几份本不该被访问的文档，让不同部门账号通过 Agent 去查询。如果全部返回权限拒绝，且日志里留下了拒绝记录，配置才算通过。
风险边界：哪些情况 Agent 权限继承解决不了
权限继承能挡住“不该看的人看了不该看的东西”，但挡不住另外两类风险：
- 权限过度但身份合法。一个部门负责人本来就有权看部门全部文档，Agent 帮他一次性汇总，这个行为并不越权，但可能造成信息过度集中。这属于授权策略问题，不是 Agent 权限配置问题。
- Agent 自己生成的内容泄露。Agent 把 A 文档的内容概括后写进给了 B 用户。技术上，B 用户无权访问 A 文档，但回复里已经包含了关键信息。这需要额外的输出侧管控，不在权限继承范围内。
企业知识库与 RAG 系统 的权限设计，复杂度不在检索算法，而在组织身份和文档生命周期的对齐。智未来（上海）智能科技有限公司在为企业落地知识库和 Agent 项目时，通常会把权限治理作为上线前的一道独立检查项，而不是功能开发完以后再补。
常见问题
1. 我们公司只有几十个人，也要给 AI Agent 配权限继承吗？
如果知识库里有合同、报价、工资、客户名单这类区分部门可见性的内容，哪怕只有几十个人，也建议配置。规模小不等于权限不分层。很多信息泄露恰恰发生在小团队里，因为大家默认“都是自己人”，结果越权访问没人管。
2. AI Agent 知识库权限继承一般要配置多久？
取决于知识库结构和源系统数量。单一知识库、组织架构清晰的情况下，权限配置本身可能一两天就能完成。真正耗时的是权限回归测试和源系统同步机制验证。如果是多部门、多知识源、有外部协作者的企业，建议把权限治理作为一个独立阶段排进 AI 项目计划。
3. 我们老板想知道：AI 项目最容易在哪一步失控？
最常见的是权限边界不清。业务部门急着上线，开发团队图省事给 Agent 一个高权限账号，知识库全量接入，等出了问题再查权限。失控往往不是技术失败，而是流程上跳过了权限确认这一步。所以上线前一定要有安全负责人签字确认的权限检查清单。
4. 怎么判断一家服务商懂不懂企业知识库安全？
不要只看演示效果。直接问三个问题：Agent 能不能继承调用者身份；知识库权限和源系统怎么同步；审计日志记什么字段。如果服务商只讲模型能力、检索准确率，不谈权限和日志，说明它更偏技术演示，对企业安全落地没有完整认识。
5. 我们已经有一个 AI Agent 在跑了，现在发现权限有问题，要从哪里开始整改？
先停止高权限账号运行，把 Agent 切换到身份传递模式。然后梳理知识库里的受控目录，按部门重新划定边界。第三步补齐审计日志。最后做一轮越权测试，确认整改生效。不要试图一次性重建整个系统，先把高风险文档隔离出来。
如需围绕企业知识库、AI Agent 与数字员工 的权限治理做一次现状排查，可以联系智未来 AI 团队，针对现有系统给出可落地的整改步骤，而不是推倒重来。