能力 · 技术 · 场景
让机器在改变现实以前，先证明自己仍有资格行动。
传统权限回答“谁能调用什么”。行动权继续回答：它代表谁、为什么行动、资格是否仍然有效，以及发生后果时谁负责、如何停止和修复。
行动权八问
任何一次高影响行动，都要把这八件事说清楚。
你是谁？
识别实际行动者，而不只是一串可复制的凭证。
你代表谁？
找到授权主体与完整委托链，避免责任在层层代理中消失。
你被授权做什么？
明确对象、动作、资源、额度、期限与禁止项。
为什么行动？
让目的进入判定，而不是用一份权限覆盖所有意图。
此刻仍有资格吗？
模型、目标、记忆、工具或风险变化后，重新核验行动资格。
实际上发生了什么？
记录请求、决策、执行结果与关键证据。
谁承担责任？
把设计、授权、执行、监督与受益者放回责任链。
如何停止和修复？
支持暂停、撤权、人工接管、裁决、补偿与恢复。
行动权模型
用声明式规则描述：谁、在什么条件下、可以对哪个系统执行什么动作。规则的粒度可以细到单次调用，而不是一整类权限。
边界执行
在动作离开系统之前完成校验，越界直接拦下，不依赖事后告警，也不依赖模型自觉。
全链路审计
每一次请求、放行与拒绝都被记录，可追溯到具体的规则与时刻，而不是一句「模型判断的」。
即时撤销
权限随策略变化实时生效，不需要改代码，也不需要重启服务。撤销和授予一样快。
如何配合现有系统
不重写业务，只在动作离开之前设一道关。
旁路接入
动作在进入业务系统之前先经过授权层，业务代码不需要感知它的存在。
策略与代码分离
边界写成规则，变更不需要发版，也不需要重启服务。
按可信度逐级放开
从只读开始，随着运行记录积累，再逐条开放写权限。
技术架构 · 许可先行，执行在后
动作要穿过五层，才被允许发生。
我们不把安全寄望于模型的自觉。每一次动作在被执行之前，先经过一层与模型无关的判定 —— 这一层是确定性的、可复现的、可审计的。
运行时护栏
系统看不清时，权限应该更小，而不是胆子更大。
不确定性越高，行动权越小
数据延迟、来源冲突或状态未知时，主动收紧额度、并发度、委托深度和不可逆程度。
重大变化触发暂停
模型版本、目标、记忆、工具、控制主体或风险等级发生重大变化，即使旧授权没有过期，也先进入 SUSPENDED。
修复必须跟得上行动
机器以毫秒制造后果，企业不能用天和月来止损。撤权、熔断、人工接管和恢复必须进入同一条运行链路。
应用场景
越不可逆的地方，边界越值钱。
我们从四类场景开始 —— 它们的共同点是：一次越界，就足以造成不可逆的后果。
企业 Agent 部署
内部系统写操作、工单流转、数据导出，全部纳入行动权的边界。
写操作 / 工单流转 / 数据导出金融与交易
高频决策场景下，每一次下单与撤单都必须可授权、可追溯。
下单 / 撤单 / 资金划转机器人与具身智能
物理世界的动作不可撤销，边界必须在指令下发之前就生效。
移动 / 抓取 / 设备控制企业内部自动化
让自动化流程第一次可以被安全地放开，而不是靠人盯守。
流程编排 / 批量任务 / 定时作业如何划定第一条边界
先小范围验证，再逐级放大。
从一个只读权限开始
先让它看得见，但不让它动手。
记录第一次越界
被拒绝的动作，往往比被放行的动作更有信息量。
按周收敛边界
把规则从宽到窄，逐步收到能接受的粒度。
让机器去行动，
为未来留下可能。
从一条真实业务链路开始，把机器的行动变成可验证、可暂停、可撤销的工程对象。
邮件由团队直接阅读，不进入营销订阅列表。