该论文关注工具型 AI 代理在生产环境中自主调用 API、数据库、浏览器及 MCP 等跨代理协议时的授权安全问题。作者指出，现有安全模型难以同时保证三个性质：代理的每一次重要动作都可追溯到人类主体；动作范围不超过人类实际委托的权限；事后可争议、可追责。现有文献多孤立讨论非人类身份凭证管理、经典访问控制、提示注入和审计日志，却较少聚焦授权决策点，即工具调用发生时的即时判定与强制执行机制。为此，论文提出一个主体层级框架，涵盖人类用户、运营者/部署者、编排代理、子代理和工具端点，并围绕五个相互依赖层展开：代理身份与凭证生命周期；多跳链上的委托与作用域传播；策略执行点上的运行时强制与即时授权；提示注入作为破坏主体层级的授权绕过；可审计性、来源追溯与不可否认性。方法上，作者对 2023 至 2026 年间约 180 篇候选文献筛选出的 89 篇主要来源进行结构化叙述性综述，提出七项结构性需求，推导出四层参考架构，并将需求应用于三种可部署参考配置。研究识别出运行时强制与聚合边界是主要未解决问题。该文适合安全架构师、IAM 工程师、AI 平台与 SOC 团队阅读，用于设计更可追责的代理授权体系。

该论文研究企业环境中 AI agent 的凭据配置问题。当前许多企业把 AI agent 当作员工自有主机来配置，在部署时一次性下发一套静态凭据，包含该员工角色未来可能用到的全部权限。基于角色的访问控制(RBAC)之所以对人类主体做这种妥协，是因为按任务粒度限定权限在实践中不可行；但对 AI agent 而言，这种妥协意味着与当前任务无关的凭据也长期处于暴露状态，一旦 agent 被攻陷或目标偏离(compromised / misaligned)，这些多余权限就会被利用。作者此前的工作(Noyan, 2026)将此现象定义为“任务-上下文错配”(task-context mismatch)，并提出三源权限架构：基于角色的权限上限(role-based permission ceiling)、任务权限分类器(task permission classifier)、基于策略的禁止项(policy-based prohibitions)，以事前方式消除暴露面，同时发布了 600 条提示的标注数据集供评估。本文完成端到端评估：实现了该架构中的安全门(security gate)——一个微调后的 RoBERTa-large 编码器，并与少样本训练的 Claude Haiku 4.5 对比，分类质量基本持平(macro-F1 0.881 对 0.886，precision 0.897 对 0.842，严重度加权残余风险 0.63 对 1.12)。结果表明，受信任的监督组件无需随被监督 agent 的规模扩展，该控制方法具备较宽的可扩展监督(scalable oversight)余量，即可用较小模型监督较大模型。论文还提出攻击面消除度量指标：仅角色权限上限一项即可关闭 27.9% 的严重度加权攻击面，叠加任务分类器后关闭比例达到 84.4%。这一差距说明任务粒度访问控制在安全性上优于角色粒度访问控制，而 AI agent 是首个能够真正强制执行任务粒度访问控制的主体类型，因为其任务以机器可读文本形式到达。整体而言，该研究把基于任务的访问控制确立为一种可度量、具备部署潜力的减少 agentic 部署攻击面的机制。适合读者：企业 AI 平台安全架构师、IAM / 权限治理工程师、agent 安全与可扩展监督方向的研究人员。

本文研究访问评审（access review）中的权限过度授予问题。在企业身份与访问管理（IAM）中，定期访问评审是确保最小权限原则的关键环节，但评审员（decider）往往倾向于保留过多的访问权限，导致授权蔓延和内部安全风险。针对这一行为偏差，作者提出使用数字助推（Digital Nudges）技术，在评审界面中引导决策者更积极地撤销不必要的授权。论文核心贡献包括：（1）设计了一组基于行为经济学的助推策略，例如默认选项调整、风险提示信息、社会比较反馈等，并集成到访问评审流程中；（2）通过模拟评审环境的用户实验，评估了不同助推方式对评审决策的影响；（3）实验结果显示，某些助推形式能够显著提高授权撤销率，同时保持评审准确性和用户接受度。该研究将行为科学引入IAM安全治理，为安全团队优化访问评审流程提供了实证依据和可落地的设计建议。适合IAM管理员、安全治理与合规工程师，以及研究人机交互与安全决策的研究人员阅读。