给AI Agent的行动权限贴上rwx标签：一个粗糙但诚实的尝试

当AI Agent开始操作真实账户时，一个根本性问题浮出水面：这个操作可以撤销吗？Reddit上一位开发者提出了这个被忽视却至关重要的命题，并给出了自己的答案——rwxmap。

问题的本质：Agent不知道自己在做什么

大多数在线服务提供数百个操作接口，但没有任何机制告诉Agent哪些只是读取数据，哪些修改了可以恢复的内容，哪些是最终性的——删除、付款、发送消息。

这位开发者的观察切中要害：当AI Agent操作真实账户时，一个核心问题决定了大部分风险——这个操作能否撤销？

现有的解决方案要么过于粗糙，要么依赖工具自我声明，要么是在更严格护栏后的猜测。没有一个绝对的标准来规定Agent可以或不可以做什么。

回归计算机最古老的智慧：rwx权限模型

开发者回到了计算机科学中最古老的想法之一——文件权限的rwx模型，构建了rwxmap，为每个操作打上一个字母标签：

• r — 只读操作
• w — 可以恢复的更改
• x — 无法撤销的操作

这个类比颇为精妙。文件权限系统经过数十年验证，简单、直观、有效。将其迁移到Agent行动分类上，是一种从已有智慧中汲取力量的思路。

开发者同时向IETF提交了一份Internet-Draft，描述Agent权限应该如何被界定。需要说明的是，这是一份个人提交，并非标准。草案描述的是权限授予应该包含什么内容，而rwxmap做的是必须先行完成的分类工作。

rwx 模型源自 Unix 文件权限系统，诞生于 1970 年代初的 Unix v1，至今仍是操作系统权限管理的基石。它将访问者划分为所有者、组和其他三类，每类分别分配读（r）、写（w）、执行（x）三个比特位。读权限允许查看文件内容或列出目录；写权限允许修改或删除；执行权限允许将文件作为程序运行。这套模型之所以能沿用半个世纪，核心在于它的正交性——三种能力相互独立，组合出的八种状态几乎覆盖了所有基本访问场景。但它也有明显局限：没有区分「可以恢复的写」与「不可恢复的写」，没有表达操作的中间状态，也没有考虑上下文依赖。rwxmap 借用这一模型时做了一个关键改动：不把 r、w、x 视为权限位，而是视为操作的性质标签。换句话说，rwx 在文件系统中表示「谁能做什么」，在 rwxmap 中表示「这个操作会产生什么后果」。从描述主体能力到描述客体效应，这个视角转换是 rwxmap 能够跨服务、跨场景应用的前提。

IETF Internet-Draft 是互联网工程任务组（IETF）的文档类型之一，用于在标准正式确立前公开讨论技术方案。它不等同于 RFC（Request for Comments），不具有强制约束力，任何人都可以提交，有效期通常为六个月。草案需要经过多轮评审、修订，并至少获得领域专家的认可，才有可能进入 RFC 流程。开发者向 IETF 提交关于 Agent 权限的草案，意味着这项工作正试图从个人项目走向社区共识。草案描述的「权限授予应包含什么内容」，关注的是协议层面——比如一个服务如何向 Agent 声明其操作的后果类别；而 rwxmap 做的是分类工作——如何判定每个操作属于哪一类。两者是上下游关系：没有准确的分类，再完善的权限协议也无从执行。

两种工作模式与实际效果

rwxmap支持两种使用方式：

1. 预先标注整个服务 — 对某个服务的所有操作进行批量分类
2. 实时评估每次调用 — 在Agent发起调用时逐一评级，即使服务本身没有提供任何描述

它还能与开发者另一个项目bareguard配合使用：rwxmap标注调用，bareguard决定Agent是否可以执行该调用。

开发者坦诚地公布了测试数据：在一次针对4,279个来自未见过的服务的操作的盲测中，单独使用时准确率约82%，配合Jev TypeSafe AI（可选的AI分类器）后达到93%。当不确定时，它选择更严格的标签，因此错误倾向于安全方向——过于宽松的结果不到1%。

粗糙但诚实的工程态度

开发者自己的评价是："规格不足，靠护栏维持。是一个起点，不是标准。"

这种坦诚在AI领域并不常见。大多数项目倾向于夸大自己的能力边界，而这位开发者选择明确标注局限。82%的准确率意味着每五个操作中就有一个可能被错误分类——对于高风险场景，这个数字显然不够。但正如开发者所言，错误倾向于安全方向，这在一定程度上缓解了问题。

项目已开源，rwxmap和bareguard均可在GitHub上获取（github.com/hamr0/rwxmap 和 github.com/hamr0/bareguard）。

分类器在不确定时选择更严格的标签，在安全工程中称为「失败安全」（fail-safe）或「默认拒绝」（fail-closed）原则。它的逻辑是：当系统无法确定某个操作属于可撤销还是不可撤销时，将其归类为不可撤销，从而阻止 Agent 执行。与之对应的是「失败开放」（fail-open），即不确定时放行。安全敏感系统中普遍采用失败安全策略——防火墙默认丢弃未知流量，身份验证系统默认拒绝未验证请求，都是同一思路。rwxmap 的测试数据显示，过于宽松的错误不到 1%，说明失败安全机制在绝大多数不确定场景下正确运作。但这一策略也有代价：它可能阻止一些实际上可撤销的操作，降低 Agent 的有效能力。如何在安全与效率之间取得平衡，是任何失败安全系统都必须面对的问题，rwxmap 选择将安全置于效率之上。

为什么这个问题值得更多关注

当前AI Agent领域的热点集中在能力提升上——更复杂的推理、更长的上下文、更多的工具调用。但权限与安全边界的问题同样关键，却远未得到应有的重视。

设想一个Agent拥有删除文件、发送邮件、执行支付的权限，却无法区分哪些操作是不可逆的，这本身就是巨大的安全隐患。rwxmap的价值不在于它有多完善，而在于它提出了一个正确的问题，并给出了一个可讨论、可迭代的起点。

从文件权限到Agent权限，这个类比是否完全适用仍有讨论空间。网络服务的操作语义远比文件系统复杂，上下文依赖更强。但有一个方向性的答案，总比完全没有答案要好。