计算机安全领域长期聚焦于“谁可以访问什么”的核心问题，通过身份认证、权限分配等机制构建起严密防护体系。但随着AI代理深度融入业务流程，传统安全框架正面临全新挑战——具备行动能力的智能主体，让权限控制从静态资源访问转向动态行为管理。
近期安全行业涌现的多项技术动向，印证了这种范式转移的迫切性。2026年8月出现的《代理行动决策协议》（AADP）草案，首次将“持续授权”概念引入技术讨论。该协议明确区分主体能力（standing capability）与具体行动授权（per-action authorization），强调安全决策必须基于实时状态而非静态凭证。这种转变源于AI代理的特殊性：同一主体在不同场景下提出的相同请求，可能因时间、参数、上下文等因素产生截然不同的风险等级。
以支付场景为例，传统权限体系下，持有API凭证的代理调用转账功能时，系统仅验证凭证有效性。但AADP框架下，凌晨三点向陌生账户发起的大额转账，与常规时段向合作方的小额付款，会触发完全不同的授权流程。这种动态评估机制，要求系统实时计算预算消耗、审批状态、熔断机制等12项状态指标，将授权决策转化为复杂的运行时计算。
技术实现层面，AADP构建了双层架构：策略决策点（PDP）负责生成授权结论，策略执行点（PEP）实施实际管控。协议特别强化了失败处理逻辑，当系统无法联系PDP时，默认拒绝执行受控操作。这种“故障封闭”原则，在金融交易、工业控制等关键领域具有特殊价值——相比传统系统的“故障开放”设计，新框架将“未知即拒绝”作为核心安全假设。
行业实践正与理论探索形成共振。Broadcom推出的AgentMinder系统，将代理的使命、意图和上下文纳入授权评估；OWASP的GenAI安全项目要求代理平台暴露中间件钩子，实现安全策略的实时干预；MuleSoft的代理熔断机制，甚至将控制粒度细化到单个请求级别。这些创新虽然路径各异，但都指向同一个结论：安全控制必须从准入环节延伸至执行全程。
技术演进也暴露出新边界问题。AADP草案明确划出信任边界：若执行层能绕过授权决策直接调用能力，或系统存在未受保护的执行路径，则协议安全保证失效。这揭示出更深层的架构矛盾——授权决策与执行权限的分离，需要组织在技术实现与流程设计上做出根本性改变。当智能代理同时掌握决策生成与现实干预能力时，如何确保前者严格约束后者，成为待解的新课题。
从控制资源访问到管理现实行动，安全体系的重心迁移折射出数字化转型的深层逻辑。当软件系统开始具备自主决策与连续行动能力，安全防护必须穿透技术堆栈，在每个可能改变现实状态的节点建立控制点。这种转变不仅需要技术创新，更要求组织重新审视安全治理框架，在效率与风险之间建立新的平衡机制。
