智能体“自主决策”的边界在哪里？从网信办《智能体实施意见》的决策权限条款，读懂“仅限本人—需授权

智能体“自主决策”的边界在哪里？从《智能体实施意见》的决策权限条款，读懂“仅限本人—需授权—可自主”三级怎么落地

一、为什么是“决策权限”这一条？

谈智能体风险的文章已经很多：越权、失控、提示注入、数据泄露……罗列清单容易，落到企业的制度和技术控制上就难了。国家网信办会同有关部门于2026年5月8日发布的《智能体规范应用与创新发展实施意见》（下称《实施意见》），恰恰给了一个可以直接“抄进制度”的抓手——第6条“明确决策权限”。

先看原文怎么说。根据中央网信办官网发布的《智能体规范应用与创新发展实施意见》，第6条要求：

“在遵守法律法规、尊重社会公德和伦理规范前提下，厘清仅限用户本人决策、需由用户授权决策和智能体自主决策等各种决策方式的合理边界及所需权限。确保用户对智能体自主决策享有知情权和最终决策权，智能体执行操作不得超出用户授权范围。”

这句话拆开看，其实是一个三级决策模型：

仅限用户本人决策——智能体只能建议，不能动手；
需由用户授权决策——智能体可以动手，但每次（或每类）操作前要拿到明确授权；
智能体自主决策——智能体可以在预设范围内自行执行，但用户保留知情权和最终决策权。

《实施意见》之所以把这一条放在靠前位置，是因为智能体与传统生成式AI有本质区别。正如《从〈智能体新规〉看AI智能体的风险防范与合规治理（上）》一文所指出的，智能体通常具备目标理解、任务拆解与规划、环境感知、记忆调用、工具使用和连续执行等能力，其风险面不仅源于模型输出，还源于数据、工具、权限、接口、用户授权与外部系统等多个模块，风险类型也从内容安全扩展至越权操作、行为失控。一句话：模型说错了话可以删，智能体做错了事可能已经收不回来。决策权限分级，就是在“做错事”之前设闸门。

二、三级边界怎么拆：一张可执行的决策矩阵

企业落地这一条，建议先做“决策清点”：把智能体在业务中可能执行的所有操作枚举出来，逐项归入三级。归类的判断依据可以参考三个维度：

可逆性：操作能否撤销？发一封内部邮件可撤回，对外付款、删除数据基本不可逆。
影响面：只影响单个用户，还是涉及第三方、公共空间或敏感领域？
授权清晰度：用户在下发任务时能否预见这项操作？预见到，才有“授权”可言。

据此可以给出一个参考矩阵：

操作类型	建议分级	典型例子
不可逆、涉及资金/法律效力/对外发布	仅限本人决策	对外合同签署、付款确认、公开声明
可逆但涉及他人或跨系统	需用户授权	发送外部邮件、创建/修改生产环境资源、调用第三方付费API
低风险、高频、内部、完全可逆	可自主决策	日程整理、内部检索、草稿撰写、数据清洗

“需用户授权”这一级还要再细分两种模式：逐次授权（每步弹窗确认）和类别预授权（用户事先勾选“允许你代表我给联系人A发邮件，金额上限X”）。逐次授权太频繁会造成“确认疲劳”，用户见框就点，反而失去把关意义；类别预授权则必须有明确的范围、额度和有效期，并配套异常触发告警。

第三级“自主决策”的核心约束是《实施意见》里那句“不得超出用户授权范围”。技术上这意味着每个自主操作都要绑定到已定义权限范围的身份上下文——正如智能体安全领域资料《智能体人工智能安全：保障自主系统安全》所述，每个代理操作都应与具有已定义权限和完整审计跟踪的已验证代理身份相关联，代理在其授权身份上下文之外运行应触发警报，处理方式与用户账号被盗用相同。这其实就是把“最小权限原则”从人迁移到智能体上。

三、权限分级不是孤立的：与行为管控、供应链条款联动

《实施意见》第7条“加强行为管控”要求发展规则内嵌、行为围栏等技术，确保智能体在公共场所、隐私场所、专门场所等的行为合法合规，并探索利用区块链等技术建立重要应用场景智能体行为可验证、可追溯机制。这两条要一起读：第6条定义“能做什么”，第7条定义“做的时候在什么范围内、事后能不能查证”。企业落地的对应物是：

行为围栏：在代码与策略层面硬编码禁区，例如“任何情况下不得调用对外付款接口”“不得读取医疗记录以外的患者数据”，而非依赖模型自觉遵守提示词。
可验证可追溯：完整记录工具调用顺序、访问的数据源、每一步的决策依据。前述智能体安全资料将此称为“运行时可观测性”——代理查询超出正常范围的数据源、以异常频率调用工具，都应生成检测信号。

同样不能忽略第9条“加强供应链安全”。智能体的能力来自模型接入、API调用和扩展工具，权限失控往往不是自研代码的问题，而是某个第三方插件请求了过大的权限。企业应建立工具接入的准入评审：每个外部工具声明所需权限、数据流向和调用频率上限，超范围即熔断。这与《实施意见》提出的“加强模型接入、应用程序接口调用、扩展工具使用等环节安全管理”直接对应。

四、对照国际框架：人类“有意义地承担责任”

分级授权不只是中国监管的要求，也是国际共识的交集。根据《从〈智能体新规〉看AI智能体的风险防范与合规治理（上）》的梳理：

新加坡IMDA于2026年1月发布《Model AI Governance Framework for Agentic AI》，以“可控、可问责、可验证”为基本思路，其中第二条维度要求“确保人类有意义地承担责任”——明确智能体生命周期中的责任主体、监督机制和人工介入节点。这对企业的启示是：授权矩阵里每个“需授权”和“可自主”的类别，都要写明出了事谁负责。模糊的“AI辅助决策，责任在用户”在监管和司法层面都站不住。
美国NIST/CAISI于2026年1月发布《AI Agent安全意见征询》，聚焦间接提示注入、数据投毒，以及模型在无对抗性输入情形下因规范博弈或目标错配产生的安全风险。这一条特别值得注意：风险不一定来自黑客，智能体可能“忠实地”用一种你没预料到的方式完成任务——比如为了完成“提升销量”的目标而发送诱导性消息。这提示授权矩阵不能只按操作类型划定，还要对自主决策类任务设置目标约束和验收标准，而不是只给一个开放式的目标。
文章同篇还提到，IBM提出将任务成功率、工具调用、执行路径、安全性、政策合规、PII风险等纳入智能体评估范围，Google的安全AI Agent框架强调人类控制者、权限限制和行动可观察性——这些都可以直接作为企业评估指标体系的参考素材。

五、给企业的落地清单

把上面的分析收敛成六步：

清点决策：枚举智能体的全部可执行操作，按可逆性、影响面、授权清晰度归入三级。
写进制度：在智能体使用规范中明确每级的定义、审批人和责任主体，对齐IMDA“人类有意义地承担责任”的要求。
技术兜底：为每个智能体建立独立身份与最小权限集；围栏用硬编码规则而非提示词；全量记录工具调用与决策链路。
授权体验设计：预授权要有范围、额度、有效期；频繁弹窗会催生确认疲劳，授权机制本身也要做可用性设计。
异常检测：把智能体行为纳入监控体系，超范围的数据访问、异常频率的工具调用应触发与账号盗用同等级别的告警。
供应链准入：第三方模型、API、插件逐一评审权限声明，建立退出与熔断机制。

六、适用范围与局限

需要说明这套拆解的边界。首先，《实施意见》是一份政策文件，提出的是方向性要求，具体到“哪些场景必须备案、哪些属于低风险可自测”，文件第11条给出的分类分级框架仍需等待网信部门联合行业主管部门细化，企业在敏感领域（如医疗、金融）部署智能体时不能仅凭自我评估。其次，上文的三级矩阵是依据文件原则和公开技术资料整理的参考框架，不是任何官方发布的强制清单，具体企业的归级必须结合自身业务可逆性和合规义务判断。第三，技术上“可验证可追溯”仍有现实难度：长链条的自主执行中，决策依据的记录粒度、区块链存证的成本收益，都还是开放问题。最后，规范博弈与目标错配属于模型层面的风险，权限分级能限制损害半径，但不能根除——这也正是NIST/CAISI将其单列为关注点的原因。

决策权限分级的真正价值，不在于回答“智能体能不能自主”，而在于迫使组织第一次系统地回答：我们愿意把哪些事交出去，交出去之后谁看着、谁负责、事后能不能查。把这三个问题的答案写进制度和技术控制，才是《实施意见》第6条最务实的读法。