企业 AI 的瓶颈不是模型，而是权限

企业采购模型很容易，允许模型进入真实流程很难。一个能总结文档的助手风险有限；一个能读取客户数据、修改合同、发邮件和触发付款的 Agent，必须回答它代表谁、能做什么、凭据从哪里来，以及出错后如何追责。

传统 IAM 围绕人和服务账户设计，Agent 却会动态规划并调用多个工具。若直接继承用户全部权限，它会获得过宽能力；若每一步都要求人工确认，自动化价值又会消失。企业需要的不是一次授权，而是任务期间可收缩、可过期的委托。

最小权限要从静态角色升级为上下文策略。权限不仅取决于“销售经理”这个身份，还应取决于当前任务、目标客户、金额、数据敏感度、使用工具和时间窗口。同一个 Agent 可以读取报价模板，却不能导出整个客户库；可以起草退款，却不能自行批准。

权限问题之所以成为瓶颈，是因为企业流程里的价值和风险都集中在少数动作上：读取一份材料通常可逆，发送一封邮件、修改主数据或批准付款却会改变外部世界。Agent 的设计不能把这些动作都视为同一种工具调用，而应把副作用当作独立的产品对象。

凭据管理是另一条隐藏边界。把长期 API Key 写进 Agent 环境，相当于让不可预测的执行路径持有永久钥匙。更合理的设计是短期令牌、按工具签发、绑定用户主体、禁止跨任务复用，并把高风险动作交给独立的策略执行点。

权限体验也决定采用率。员工需要在执行前知道 Agent 将访问哪些系统，在执行中看见新增请求，在结束后得到操作清单。模糊的“允许全部访问”会让谨慎的组织拒绝，连续弹窗则会训练用户机械点击。好的授权是按风险分层，而不是把责任推给确认框。

审计日志不能只记录模型输出。它要串起用户意图、使用的上下文、策略判断、工具参数、外部响应、人工批准和最终副作用。只有这样，安全团队才能复盘一次错误是数据、模型、权限还是工具集成造成的。

对 AI 厂商而言，企业护城河会从模型分数转向身份连接、策略表达、审批编排和可观测性。能接入更多系统只是第一步；能证明每次访问都符合组织规则，才有资格进入核心流程。

常见误区是用一个“管理员 Agent”掩盖集成难题。它在演示中很顺畅，生产中却把提示注入、工具误用和身份冒用放大成组织级风险。更安全的结构是把规划、执行和策略判定拆开，让模型提出请求，由可预测的系统决定是否签发能力。

企业 AI 的真实上限不是模型能想多远，而是组织愿意让它走多远。把权限当成产品能力，而不是上线前的安全补丁，Agent 才能从只读助手变成可承担责任的执行者。

把讨论带回真实场景，最先要拆开的就是身份、任务目的、数据范围、工具权限和审计记录的逐层绑定。它们在演示里常被一条顺滑的故事线覆盖，落到产品、组织或公共系统中却由不同角色承担成本。先把对象、状态变化和责任交接画清楚，团队才知道究竟该自动化哪一段，又该把哪些判断留给人。

最容易出现的误判是为了让演示顺畅而给 Agent 过宽的长期权限。这类错误通常不会在第一次体验时暴露，而会在边缘案例、利益冲突或长期使用后累积成不信任。设计时应主动保留反例和拒绝路径：当证据不足、目标冲突或风险升高，系统能否减速、解释并让用户重新选择。

上线前可为每条关键路径制作权限演练：谁发起任务、哪些数据会进入模型、哪个动作需要二次批准、令牌何时失效、失败后如何撤销。审计记录要能从最终副作用倒查到原始意图，而不是只保存一段漂亮的模型摘要。

判断进展不能只看声量或一次性完成率，更应持续记录越权阻断率、授权请求质量、撤销后的生效时间。这些指标把“看上去很聪明”转化为可复盘的经营与治理问题，也能让团队发现效率提升是否只是把成本转移给用户、审核者或未来的维护者。指标一旦能关联具体任务，改进才不会停留在口号。

最终，模型再强也不应绕过组织原有的责任与审批链。成熟方案不是承诺消灭全部摩擦，而是把必要摩擦放在真正需要判断的节点，并让当事人看得见、改得动、退得出。只有能力、激励和责任被放在同一张图上，本文讨论的变化才可能从热闹的功能叙事，变成值得长期依赖的实践。

从《企业 AI 的瓶颈不是模型，而是权限》出发，产品判断要回到完整价值链：用户在什么情境下产生需求，如何发现入口，愿意交出哪些上下文，系统交付什么可验证结果，结果又是否能自然回到原有工作流。任何一段依赖复制粘贴、重复配置或模糊授权，都会让模型能力在真实使用中流失；增长不能只测点击，而要测这条链是否闭合。

商业上最常见的误读，是把一次惊艳体验当成可持续留存。演示任务往往目标清晰、资料齐全、失败没有代价；真实用户则有权限缺口、协作对象、旧系统和时间压力。产品应主动追踪第二次、第五次使用时的触发条件和结果接受率，并区分新鲜感带来的尝试，与真正进入工作流程后的重复委派。

当权限被做成显式、短期和可解释的委托，企业并不会因此失去自动化速度。相反，团队更敢把 Agent 放进真实流程，因为每一次扩权都有可观察的证据。生产级能力的标志，不是访问范围最大，而是边界最清楚。

衡量单位也应从模型调用转向被接受的结果。一次成功要计入推理、工具、运行环境、人工复核、支持和失败重试的全部成本；收入则要看结果是否真的创造了客户可感知的价值。只有把这两端放在一起，团队才能判断更强模型、更多自动化或更深集成究竟是在改善毛利，还是在制造昂贵的幻觉。

分发和信任是同一件事的两面。默认入口可以降低尝试门槛，却不能替代解释推荐、授权与商业关系的义务；越靠近用户的交易、文件和偏好，越需要让人知道系统为何这样排序、谁为结果负责、能否带着数据和历史离开。短期锁定带来的增长，往往不如可迁移带来的长期信任。

最终，AI 产品的护城河不会是一项孤立功能，而是能力、上下文、流程和责任如何共同积累。模型供应会变化，入口也会迁移；真正留下来的，是产品能否持续用更低的协调成本交付更好的结果，并把每次纠错转化为下一次更可靠的体验。