想象一座规模宏大、高科技化的办公大楼，这里的保安以前遵循着一条简单的规则：“不要把任何不属于某人所需范围内的房间钥匙交给他们。”这被称为最小特权（Least Privilege）。几十年来，这对人类和简单的机器人来说效果极佳。如果清洁工需要打扫洗手间，他们会得到洗手间的钥匙；如果他们不需要进入保险库，他们就不会得到保险库的钥匙。很简单，对吧？

但现在，我们制造了智能体 AI（Agentic AI）——这些聪明的、自主的数字员工不仅能开门，还能去敲其他人的门，请求其他员工为他们打开某些东西，并结合他们手中的小钥匙，去开启那些他们原本无法单独触及的巨大秘密之门。旧有的“一把钥匙，一个房间”的规则已经不够用了。

于是，研究员 Christophe Parisel 在一篇日期为 2026 年 7 月 14 日的论文中提出了一个新理论：最小自主权（Least Autonomy）。这就像是将安全系统从检查“谁持有钥匙？”升级到了询问“谁可以通过组队来拆掉整栋大楼？”

新的危险： “爆炸半径”（The Blast Radius）

该论文建议我们需要衡量一个叫做**组合爆炸半径（Compositional Blast Radius）**的概念。你可以把它想象成一个“危险距离”计。

想象这座办公大楼是一棵巨大的树。根部是首席执行官（CEO），树枝是各个部门（如财务部或工程部），叶子则是特定的文件或工具。论文使用了一种特殊的数学技巧（超度量树/ultrametric tree）来测量两个动作在树上的距离有多远。

• 如果两个动作发生在同一个微小的房间里，距离为零。
• 如果一个动作发生在“财务部”分支，而另一个发生在“工程部”，距离就会变大。
• 如果它们位于完全不同的建筑中（例如“运营部”对比“企业总部”），距离就会非常巨大。

但这不仅仅关乎距离。论文为每个房间都添加了一个“敏感性标签”。有些房间是“标准型”（低风险），而有些则是“高完整性”（不要弄乱数据）或“高机密性”（不要泄露秘密）。该理论将距离与敏感性标签相结合，计算出一个乘数（范围从 1.00 到 2.00）。

因此，“爆炸半径”不仅仅是两个动作之间的距离；它是经过风险权重调整后的距离。如果一个财务部的低风险动作与一个工程部的高风险动作相结合，这种组合的“爆炸半径”就会获得一个很高的分数。

“会议”与“影响图”（The "Meeting" and the "Influence Graph"）

这是最复杂的地方。论文认为，我们不能只看一个 AI 智能体单独能做什么，我们必须看它能和谁交流。

作者引入了**“会议”（Meeting）**的概念：

• 资源会议（Resource Meeting）： 智能体 A 在白板上写了一张便签，智能体 B 阅读了同一张白板。他们在白板处“相遇”了。
• 智能体间（A2A）会议： 智能体 A 和智能体 B 有一个直接的聊天频道。论文在这里非常保守：即使聊天看起来是单向的，作者也假设智能体 B 可能会以某种方式反过来影响智能体 A（也许是通过发送一条棘手的消息或工具输出）。因此，他们将其视为双向通道。

一旦我们知道谁“相遇”了，我们就可以计算影响潜力（Influence Potential）。这是一个关于它们的组合行为覆盖了多少“结构跨度”的分数。如果智能体 A 向一个敏感的保险库写入信息，而智能体 B 读取一份敏感报告，且他们曾有过“会议”，那么他们的影响潜力就是很高的。

然后，我们会绘制一张名为**影响图（Influence Graph）**的地图。只有满足以下条件的两个智能体之间才会画出一条线（弧线）：

1. 他们进行过“会议”。
2. 他们的影响潜力高于某个特定的阈值 ($\theta$)。

论文特别强调，这个阈值 ($\theta$) 不是由计算机自动寻找的神奇数字。它是一个由人类安全主管做出的政策选择，并根据公司所有可能的行动组合“目录”进行了校准。

“共谋”陷阱（The "Collusion" Trap）

该理论最令人恐惧的部分是共谋谓词（Collusion Predicate）。这是一个测试，旨在观察一组智能体是否可以联手做坏事，即便其中没有任何一个智能体本身在做错事。

论文识别了智能体在图中进行“共谋”的三种方式：

1. 授权组合（Authorization Composition）： 智能体 A 拥有批准请求的权力，而智能体 B 拥有执行该请求的权力。如果 A 能影响 B（或反之），他们就能绕过规则。
2. 决策操纵（Decision Manipulation）： 智能体 A 可以影响智能体 B，而智能体 B 拥有批准某项决策的权力。A 可以诱导 B 去批准一个错误的决策。
3. 跨域暴露（Cross-Domain Exposure）： 智能体 A 可以触及“财务”领域，而智能体 B 可以触及“工程”领域。如果他们在图中相连，他们可能会在无意或恶意的情况下，将这两个世界混合在一起，而这正是规则所禁止的。

该论文排除的内容（“禁区”）

理解该理论并非在做什么至关重要。

• 它不是运行时监控器（runtime monitor）。论文明确指出这是一种**静态设计时（static design-time）**分析。它就像是在建造大楼之前检查蓝图。它并不观察智能体在实时运行中是否真的在交谈，它只是说：“如果蓝图长这样，就存在风险。”
• 它并不证明犯罪行为已经发生。在图中发现“共谋见证者（collusion witness）”并不意味着智能体确实做了任何错事。它仅仅意味着这种配置允许此类行为发生。它只是给安全工程师提供一个“红旗”警告，以便他们去审查权限。
• 它不在乎动作的“方式”。论文承认，在它的数学模型中，对同一个文件进行“读取”操作和“删除”操作具有相同的“结构距离”（即零）。该理论关注的是权限的结构，而不是具体的操作类型（比如是破坏性的删除还是无害的读取）。

结论：一个新的安全网

论文得出结论：最小特权仍然必要，但对于这些智能的、相互连接的 AI 智能体来说，它是不充分的。你可以给一个智能体分配“最小”权限，但如果该智能体可以与另一个拥有不同“最小”权限的智能体交谈，他们可能会组合出一种没人预料到的“最大”权限。

作者提出，**最小自主权（Least Autonomy）**是一个互补的规则。它追问：“通过一连串的朋友关系，一个智能体最终可能触及的最大‘爆炸半径’的权威是多少？”

论文提供了一个供安全工程师构建该模型的逐步指南：

1. 绘制公司的树状图并为每个节点贴上敏感性标签。
2. 列出所有可能的行动。
3. 根据公司的风险承受能力设定一个阈值 ($\theta$)。
4. 绘制影响图。
5. 检查是否存在“共谋见证者”。

如果图表显示存在共谋风险，工程师必须重新设计工作流、更改权限或降低阈值。论文指出，这是一种捕捉标准权限检查会遗漏的“隐形”风险的方法，但也承认该模型高度依赖于输入数据的准确性（即树状图、标签和会议定义的准确性）。

简而言之，论文暗示，在一个 AI 智能体的世界里，我们不能只检查谁拿着钥匙。我们必须检查谁能敲谁的门，以及当他们的敲门声结合在一起时会发生什么。这是一种全新的思考安全的方式，它将整个智能体网络视为一个单一的、潜在危险的有机体，并需要对其进行约束。