如何在不放弃控制的前提下，把访问权交给 AI 智能体

快路——先把管理员权限交给智能体，细节以后再理——制造的正是让团队吃亏的爆炸半径。这里是避开它的分层模型，并逐行对照 FabricLoop 实际已经交付的内容。

把 AI 智能体接到真实系统上，最快的办法是给它和新员工入职第一天一样的权限：完全管理员、每一种工具，细节以后再说。把访问范围收窄需要时间——得有人决定智能体能碰哪些工具、能读哪些数据、哪些事可以不先询问就做。在已经绷得很紧的小团队里，没人愿意当那个拖慢进度的人。于是默认就变成“先给它权限”，大家接着去做下一件事。

这个直觉是错的，原因和智能体今天看起来可不可信无关。关键是它不可信的那一天会发生什么。一个拥有管理员级触达范围的智能体，如果犯了例行错误，读到被要求阅读的文档里埋着的投毒指令，或者只是自信地弄错了一次工具调用会做什么，它此时就拥有管理员的触达范围。失败不是一句可以耸耸肩放过的糟糕聊天回答——它是被攻破的管理员账户的爆炸半径，只不过它可以以机器速度行动，横跨它接触的每一个系统，没有人在实时看着，赶在损害叠加之前拦住它。

真正兜住爆炸半径的那一叠

给 AI 智能体做良好的访问设计，不是拨一个开关。它是叠在一起的六项独立决定，每一层都用来挡住第一条路：第一个错误如何变成大得多的错误。跳过一层并没有简化任何事——你只是把失效点挪到了更不容易看见的地方。

这六层没有一层是稀奇的。每一层都补上上一层大大敞开的洞——单靠身份挡不住过宽的工具访问，单靠工具允许列表也挡不住悄无声息且不可逆的动作。它们只有叠在一起才起作用。

身份：一次登录，而不是影子登录

从身份开始，是因为上面的一切都从它继承。如果智能体的访问绑在一个 IT 不知道存在的登录上，后面的层都不算数——你无法撤销一项你从不知道存在的授权。FabricLoop 的 Enterprise 方案通过 SSO 和 SAML，把工作区接到组织的身份提供商上，也就是已经控制邮箱和公司其余软件登录的同一套机制。这对智能体访问尤其重要，因为 AI 连接和普通协作访问走的是同一套身份故事，而不是两套。当 IT 在身份提供商里取消某人的预配时，这一下就移除了他们的 FabricLoop 访问，以及绑在其登录上的任何 MCP 连接——而不是留下一份没人记得清理的孤立智能体凭据。

按人授权，两个方向都是

FabricLoop 的 AI 连接朝两个方向走，同一条原则——没有全团队共用的凭据——两边都适用。

入站是指 Cursor、Claude 或 ChatGPT 这类外部工具作为 MCP 客户端连进 FabricLoop，以便用某人的真实权限读写任务、笔记和消息。FabricLoop 自己的设置说明写得很明确：这是按人进行的过程。每个人打开 app.fabricloop.com/oauth/consent 上的同意界面，选中工作区，并批准该客户端获得的具体工具范围——不是管理员为所有人拨一次的、整个工作区的开关。给团队的指引直接点出这套设计要防止的失败方式：不要把一个人的访问令牌在团队里共享，因为每个人都应当完成自己的同意。结果是一份按人可见、按人可撤销的已连接客户端列表，而不是埋在配置文件里、比它被创建的理由活得更久的访问令牌。

出站是镜像情形：FabricLoop 连到自己 MCP 目录里的第三方应用，比如项目跟踪或日历工具。这里的拆分是有意的。管理员为整个工作区启用该应用——这是关于这个工具是否允许出现在组织里的决定——然后每个想用的人再连接自己的个人账户。管理员拨下那个开关，并没有把每位员工的身份交给应用；它只是让这个选项可用，连接做任何事之前，每个人仍须以自己的身份完成认证。

范围：只读，或一份允许列表——不是全有或全无

身份回答的是谁。按人授权回答的是谁的账户。两者都没有回答真正决定一次错误有多大的问题：连接生效之后能做什么。那是第三层的工作。

在任一已连接应用的详情页上，管理员可以设置显示名称、打开只读模式，并选择工具策略——要么是每一种可用工具，要么是一份具体的允许列表。这就是“这个智能体能读我们的任务板”和“这个智能体能读任务板，还能删除记录、改派负责人、向每个频道发帖”之间的差别。大多数连接不需要第二种。人们所担心的、智能体访问出事的故事，大多始于一条默认获得了每一种工具的连接，因为没人想到去勾选那个加以限制的选项。

FabricLoop 的安全页面把由此产生的授权描述为“有范围的”，并明确写成“不是永久、看不见的访问”——可审计、可撤销。公司在解释可见性的页面上用的是同一套说法。可见性指的是：AI 访问应当是你可以点名、可以检查的东西，而不是关于哪个旧机器人令牌还在生效的口耳相传。

运行时行为：智能体起草，人来发送

这一层以上控制的是智能体能触及什么。这一层控制的是它到达之后被允许做什么——也是大多数团队会跳过的一层，因为它感觉最慢。

FabricLoop 的内置助手 Loop，是围绕公司在自己的产品文档里说得很直白的一条约束来做的：“Loop 起草；由你发送。它不会自行发到频道，也不会自行通知任何人。”让它总结一个讨论串，它就总结。让它写一条更新，它就写出草稿——在别人看到之前，仍须有人审阅并发送。住在频道里、作为队友的智能体也是同一模式：当其中一个在等一个人做决定时，它不会猜测然后继续。它会出现在该频道“应用与智能体”标签下的“等待你处理”里——正是团队本来就会看的那一面，而不是没人记得存在的另一套控制台。

这就是智能体框架文献所说的 ask_human / resume 模式的实际形态：智能体在需要判断的地方停下，提问，只有人回答之后才继续。FabricLoop 把背后的想法框定为人工干预率——不是把“智能体多久需要一次人”当成要用工程消掉的失败，而是每个运行智能体的团队都应当真正去测量、并为之设计的一个数字，而不是在事故中第一次发现它。

熔断器：真正能停住运行的支出上限

访问控制不只是智能体能读什么、改什么。也关乎它能花多少——失控的智能体不必碰任何敏感内容，只要在没人看着的循环里反复做昂贵的模型调用，就能造成真实损失。

FabricLoop 付费方案的管理员在“用量与账单”里为智能体用量设置月度支出上限，并可以打开硬停止：支出一碰到那个数字，就自动暂停新的智能体工作。这是真正的熔断器，不是监控看板：差别在于，是月底才发现账单很高，还是新的智能体运行在越过某人设定的数字那一刻自己停下来。免费工作区没有美元上限，因为没有需要封顶的生产支出——它们用包含在内的、仅供测试的额度运行，这本身就是一种范围限制，只是执行方式不同。在付费方案上，硬停止触发之后，唯一的恢复办法是提高上限。这正是你在那一刻想要的摩擦：必须有人主动决定多花钱，而不是系统悄悄回到不限量。

审计与撤销：一个人，或所有人，一次完成

最后一层假定前五层终究会在某处、对某人失效，然后问接下来怎么办。

FabricLoop 把两种撤销分开，这个区分很重要。“撤销我的连接”对任何个人可用，并且立刻只断开这个人的访问——工具对他停用，不会碰到团队里其他同样已连接的人。“为工作区停用应用”仅限管理员，是更宽的动作：它把应用整体归档，并一次撤销指向它的每一条连接，用于问题不在某个人的账户、而在应用本身的情形。入站一侧也有同样的拆分：任何人都可以从“设置 → AI / MCP”立刻撤销自己连接过的 MCP 客户端。

如果在有人决定拔掉插头之前看不见发生了什么，这些都不算数。FabricLoop 的 Enterprise 审计日志不只是登录历史——公司把它描述为覆盖管理员与智能体活动，而它自己关于可见性概念的材料，专门把“MCP 审计事件”列为安全团队可以审阅的东西，而不是只能从上下文推断。这就是安全团队问“有没有人动过这个”并得到真实答案，与靠旧消息和某人对那天下午智能体似乎在做什么的记忆来拼时间线之间的差别。

FabricLoop 说哪些还不是事实

上面每一条都是 FabricLoop 实际已经交付的。同样有必要把还没交付的说清楚，因为只讲前一半的公司，是在请你凭信任相信它——而凭信任相信，并不是一种可辨认的安全姿态所意味的东西。

FabricLoop 自己的安全页面先列出今天为真的内容，然后另有一节，标题直白地写成“尚未到位”，点名三处具体缺口：SOC 2 或 ISO 27001 认证、第三方渗透测试，以及 SCIM 预配。这个页面的写法，对供应商安全页来说异常直接：它不是把其他供应商拥有的每一项认证都列出来，而是说，此刻为真的就是这些——尚未到位的也在这里，因为公司宁可说清楚，也不愿让客户以后才发现。

对正在权衡是否把智能体接到公司真实数据上的团队来说，这些不是含糊的风险——它们是三项点了名、可以核对的事项，你可以在安全评审里提出、跟踪，并在续约前跟进。一份写明的缺口清单，比“一切都好”的含糊保证更有价值，正因为可以核对。这也是可见性这一概念背后的同一条论证：你可以点名并核验的访问与姿态，胜过只是请你信任的访问与姿态。