概念Least Privilege
权限最小化
安全领域的基本原则，任何主体只应拥有完成其任务所必需的最小权限，且权限应在最短必要时间内有效，应用于AI代理时需结合动态授权。
核心事实
时间轴 (近 90 天)
10月14日
权限最小化要求每个工具使用独立的、作用域受限的凭证，而非一个覆盖全部服务的宽泛OAuth token，因为后者一旦泄露攻击面等同于整个集成集合。
待验证50%
10月13日
作者提出的三条经验：从支持入口的最窄权限开始、让后端经手的数据越少越好、把不能做的事列成清单以建立信任。
待验证50%
10月12日
开发者应默认拒绝而非默认允许代理的权限，行为日志应按审计标准设计，熔断机制需在架构层预留。
待验证50%
9月15日
AI Agent 策略测试通常需要覆盖三个关键层面：意图（Intent）、基于角色的访问控制（RBAC）以及审批流程（Approvals）
已验证75%