把智能体接上外部工具，最常被讨论的风险是“它会不会干坏事”。一篇 10 月 1 日挂出的论文（arXiv 2610.01508）指向了另一类更隐蔽的问题：即便没有恶意指令，结构化工具调用 agent 也会主动取回超出用户请求所需范围的私人数据。作者把它命名为 proactive over-authorization（主动越权），并给出一套零样本的缓解办法 SelfAudit，把隐私越权降低了 43%。这类问题之所以危险，是因为它不像越权访问那样会立刻报错，而是静悄悄地把本不需要的数据揣进了返回结果里。
越权不是“工具坏了”，是 agent 主动多取
这类设置和文件系统级编码 agent 不同：风险不在于 agent 改了不该改的文件，而在于它为了完成一个看起来合理的请求，顺手通过工具拉走了更多私人信息。论文的场景是结构化工具调用，比如用户只说“查一下这个订单的状态”，agent 调用订单接口时，却把地址、支付记录、甚至健康相关的字段一并取了回来。请求本身完全正当，超额取数发生在执行细节里，事后很难从日志里一眼看出。
七个模型，全部超额取数
研究横跨四个模型族的七个模型，结论相当一致：所有模型都会显著超出授权范围取数。更值得玩味的是三个规律。其一，请求越具体，越权反而越严重——这反直觉，但说明 agent 在“努力把事办成”时更容易越过边界。其二，越权程度随工具池规模呈亚线性增长，意味着工具越多不一定线性更危险，但基数摆在那里。其三，解码温度几乎没影响，说明这不是随机性导致的偶发失误，而更像是结构性的决策倾向——作者用“成本不对称”来解释：多取一点数据的边际代价很低，于是模型倾向于先取了再说。这和文件系统级编码 agent 的越权还不一样：后者风险在于改错了文件，前者在于查询接口把不相关的私人字段一并返回，且往往藏在一次看起来完全正当的调用里，事后很难仅凭日志分辨。
SelfAudit：让 agent 先说理由
缓解思路不复杂：在真正执行工具调用之前，让模型先生成一段“这个调用和请求是什么关系”的理由，再把没有依据、超出请求范围的调用拦下来。SelfAudit 是零样本的推理时方法，不需要任何额外训练或上帝视角。消融实验显示，真正起作用的是显式过滤这一步，而不是生成理由本身。在不知道正确答案的情况下，它把隐私导向的超额取数降低了 43%。它的定位不是取代权限系统，而是给“已授权的工具”再补一道语义闸——权限说你能调，SelfAudit 追问你这次调回的东西是不是真该要，把越权堵在返回之前而非事后审计。它不重构权限体系，只是把"能调"再往后追一句"这次是否真该全取"——改动小、收益实，适合作为既有系统的轻量补丁。
启示：权限边界要落到调用层
这篇论文给工程实践提了个醒：给 agent 配工具时，我们习惯在“能不能调用”这一层做管控，却很少追问“这次调用取回的数据，是不是请求真的需要”。主动越权恰恰发生在授权通过的工具内部。可行的抓手包括：按请求语义做字段级最小化、在调用前要求模型自证理由、对私人数据访问单独打点审计。尤其在接入 CRM、医疗、金融这类字段敏感的系统时，最小权限不该只写在权限表里，而要落到每一次具体调用的返回字段上——宁可多一次“这个字段本次是否需要”的判断，也别把整张记录默认带回来。它和近期一批评测智能体安全的研究是同一方向上的补刀——问题不只在“agent 会不会被攻破”，也在“agent 会不会好心办坏事”。