人工审批加入 AI Agent 流程，不等于安全。人也会疲劳、误判，受自动化偏差影响；若只看 Agent 总结，缺乏独立证据与否决权，审批就退化为替 Agent 确认，甚至共同失效。审批须绑定具体 Action、对象、参数和状态，拒绝能真正停止执行，否则只是责任转移。当机器速度超过人的吞吐量，逐次审批必然失效。更成熟方向是 Human-Defines-the-Boundary：人定义边界与例外，机

现代安全体系以 IAM、RBAC、ABAC、最小权限等管理身份与能力边界，解决“谁能做什么”。但 AI Agent 即使主体、凭证、角色、策略都正确，仍可能在合法权限内执行错误动作。根源在于权限回答“能不能”，却不回答“此刻应不应该”。权限是持续能力，Intent 却短暂；Agent 又让权限与执行几乎零距离。因此，需要在 IAM/Policy 之后增加 Execution Control：验证

本文提出“权威分解”概念，指出传统安全体系混淆了权限与权威：权限描述主体能提出什么，权威决定什么能真正发生。AI Agent 可持合法凭证、通过所有检查，却造成不应发生的现实结果，根源在于本应独立的意图、授权、策略、运行时裁决与执行权威，最终坍缩到同一主体或失陷域。权威分解要求将这些性质不同的权威结构性拆开，使任何单一主体失陷都不足以完成从意图到现实改变的完整因果链。执行资格不能继承历史授权，必须

“不完美主体”（Fallible Subject）是 AI 执行工程中的基础假设：任何能够发起行动的主体，无论是人、AI Agent、自动化程序还是 SaaS，都可能在某一时刻判断错误、状态失真或目标偏离。真正的安全问题，不是主体会不会犯错，而是错误是否能够直接转化为现实执行。因此，未来系统不能只依赖身份、权限与可信主体，而应通过 Authority 分解、独立执行边界、Fail-Secure 与

AI Agent 安全不应被戏剧化为人格化叙事，不必先假设它会背叛、欺骗或形成独立目标。更现实的威胁模型是“不完美主体”：它可能误解任务、相信错误上下文、误用工具、受提示注入、状态失效，却仍以合法身份、权限和正常路径“自洽地做错”，最终产生攻击级后果。恶意主体与不完美主体是两类问题，Alignment 也不等于执行安全。认知具有概率性，执行却产生确定性后果，不能让同一主体自判、自批、自行执行。应转

传统安全长期以“恶意”为核心假设，认为风险来自攻击者、恶意代码或内部人员故意突破边界。但 AI Agent 使“无恶意却造成危险”的问题凸显：主体可能误解任务、缺乏上下文、轻信错误信息、被外部内容诱导，或在复杂环境中做出错误判断。它未绕过权限、未窃取凭证、也无伤害意图，却仍导致数据删除、资产损失、生产中断等后果。传统上这类被归为“人为失误”，但若结果与攻击相同，系统承受的代价并无区别。因此，安全边

传统安全擅长判断“非法”，却常把身份、Credential、权限合法等同于动作正确。AI Agent 使这三者分离：合法主体也可能在错误状态下执行错误动作，且无需攻击者。文章区分 Authorized Action 与 Desired Action、执行成功与意图成功，指出权限只证明能力，不能证明理由与正确性。因此安全需从主体授权转向行动授权，在运行时结合任务、对象、状态、证据和边界判断具体动作是

文章指出，传统 IAM/权限体系回答“谁可访问什么”，但 AI Agent 使“拥有能力”与“具体动作应否执行”分离。AADP 等提案主张按动作授权，在运行时结合预算、预留、审批、Kill Switch 和历史状态计算 Verdict，并由 PEP 强制执行，未知或失败默认拒绝。Broadcom、OWASP、MuleSoft 等也把控制点移向 Runtime、Action 与 Execution。

本文由南京大学课堂上“没有Token的CS学生应退学”的争议切入，揭示生成式AI进入教育后引发的深层问题：Token正从个人消费转变为新型“认知耗材”和基本学习条件。文章指出，试错首次被实时计价，可能悄悄改变学习形态；同时强调，成本意识本身就是工程能力的一部分，但必须区分“无节制浪费”与“无力承担基本成本”——前者需训练，后者需制度保障。最终，这场争议的真正价值在于提醒大学：当AI成为基础工具，教

本文由南京大学课堂上“没有Token的CS学生应退学”的争议切入，揭示生成式AI进入教育后引发的深层问题：Token正从个人消费转变为新型“认知耗材”和基本学习条件。文章指出，试错首次被实时计价，可能悄悄改变学习形态；同时强调，成本意识本身就是工程能力的一部分，但必须区分“无节制浪费”与“无力承担基本成本”——前者需训练，后者需制度保障。最终，这场争议的真正价值在于提醒大学：当AI成为基础工具，教