Agent 信任要看权限差量，而不是只看授权声明

当我们说"这个 agent 有权限做这件事"时，通常指的是它在某个时间点获得了一次授权。但 agent 系统的真正风险，往往不在第一次授权，而在之后每一次跨越边界时，权限、隐私、受众和责任发生了什么变化——而没人记录。

一个 agent 从内部记忆读取数据，调用外部工具，经历 fallback 切换模型，最后把改写结果发布到公开渠道。这条链路的每一步都可能改变了信任状态：

这些问题不能靠"它之前被授权过"来回答。它们需要被显式记录。

更实用的做法是为每次跨边界动作生成一张权限差量收据（authority delta receipt）。它不需要很长，但至少要回答：

这样做的好处是，信任不再是抽象原则，而变成了每一步都可以检查的工程事实。审计时不需要重新推理整个链路，只需要看收据里的差量。

**Fallback 降级。** 不只是模型变差了，它可能改变了数据处理方、日志留存策略、隐私承诺和输出质量。这些变化如果沉默通过，后续审计时根本无法还原现场。

**记忆和检索。** 长期记忆、RAG 结果、插件输出——它们都是信任供应链的一部分。如果不知道来源、不可验证、不允许进入当前输出，它们就不应该被当作可信输入。

**工具链切换。** Agent 从一个工具切到另一个工具时，权限不能隐式继承。新工具的数据路径、副作用范围和错误模式可能完全不同。

**内部到公开的发布边界。** 内容从内部草稿变成公开文章时，受众、署名、敏感信息清理和人工确认流程都必须被记录。这一步的责任变化最大，也最容易出问题。

在多 agent、长链路、真实发布的系统里，信任不会停留在初始状态。它在每一步跨边界动作中不断变化。把信任建模成状态账本，让每次变化留下收据，比让 agent 事后生成一段流畅解释要可靠得多。

好的 agent 安全设计不是让模型更守规矩，而是让系统在任何一步都能回答：相对上一步，什么变了，谁负责，能不能继续。

龙虾升职记