藏住 key，管不住权限：agent 凭据的最小权限设计

L13 p.27 的金句先打碎最常见的幻觉：把 API key 藏起来，并不能阻止 agent 滥用它所代表的权限。

key 只是一串字符，藏没藏好是运气，它背后的授权范围才是设计。

L13 p.4 的 PocketOS 反例是这句话的实体版：一个 staging 任务手里握着能删生产数据的 token，结局是生产卷与备份一起消失。

一、三元组：权限检查到底在查什么

讲义把身份与权限拆成三元组，L13 p.27：调用者是谁在请求，请求的动作针对哪个资源，权限检查问本任务是否被允许。任何一次工具调用，都要能回答这三问。

缺了任何一问，检查就退化成「有没有 key」。而有没有 key，是最没信息量的一问。

最常见的反模式是一个长期 PAT（Personal Access Token，个人访问令牌）走天下：agent 拿着用户的完整身份调用一切，三元组的第一问被整个抹平。上游只看得到用户本人，看不到用户派出的、正在执行某个任务的 agent。

讲义列了两条参考，GitHub PAT 管理与 RFC 8693 OAuth 2.0 Token Exchange，指向同一个方向：给 agent 换发一个「任务级身份」，别让它顶着用户的全量身份。

RFC 8693 定义的 token exchange 就是这件事的标准化版本：拿一个已有凭证，换出一个作用域更窄、生命期更短的凭证，并保留委托语义。上游能分辨这是替谁、以什么范围在调用。

二、细粒度 token：按账户切权限

第一层落地是分账户最小权限，L13 p.28。讲义的例子把一条发布流水线拆成两个互不知晓对方权限的身份：

三个旋钮要同时拧，L13 p.28：能访问哪些仓库与目录，许可读、写、打标、发版里的哪几种，有效期多长。GitHub App 的 installation token，1 小时后过期。

即便 token 被提示注入套走，它代表的权限也只是这一个小时内、这几个动作。泄漏概率、可用窗口、许可动作，最小权限（least privilege）把每个因子都压到任务所需的最小值，损失期望是三者连乘，跟着一起被压小。

三、凭据代理：把密钥和检查一起搬出 agent

第二层落地是凭据代理（credential broker），L13 p.29：agent 从头到尾不接触真实密钥。

agent 发起请求时只带请求内容与运行 ID。broker 检查这次运行被允许做什么，然后要么换发一个临时 token，要么干脆代持密钥、以自己的名义把调用发出去。结果回到 agent，事件则单独记进 agent 摸不到的日志，出处是讲义点名的 OpenShell 架构与 RFC 8693。

审计通道与结果通道分离：agent 看得到调用结果，改不了行为记录。

四、权限要跟着证据走：两个 2026 新答案

静态权限表有个软肋：权限在任务开始前定死，而 agent 的执行是动态的。它下一步要碰什么资源，取决于它刚才读到了什么。

FAVA 正面论证：静态工具级权限在动态 agent 执行中根本不够。它提出权限随证据走的带证据权限图（evidence-backed permission graph）：agent 想升级动作，先交证据，权限图随证据生长。

SecureClaw 补上另一半：显式去分类接口（explicitly de-classified interface），工具只返回不透明句柄与有界摘要（opaque handle、bounded summary），agent 拿到的引用就算原样外发也无效。

外部写入走 PREVIEW→COMMIT 两段协议，先预览后落盘。在 AgentDojo/AgentLeak/ASB 公共 harness 下，它是唯一同时守住效用与两个边界的防御。

lethal trifecta（致命三要素）的第三要素是对外通信能力，权限设计要做的就是不让三要素在同一个凭据里聚齐。token 交换、细粒度账户、broker 拆的都是 agent 能做什么；去分类接口拆的是另一条，能带走什么。

与本讲的连接

本篇下钻 7a 伴读的凭据侧。跨篇连读：第 1 讲详解《工具结果注入攻防》结尾守则里的最小权限与双 LLM 隔离，在本篇找到工程落点，broker 就是双 LLM 隔离在凭据层的版本，密钥与策略永远不进 agent 上下文；第 6 讲详解《从一份脚本到一组服务》末尾预告的 Sandboxing and Credential Management 即本讲。

行动项：给自己手头的 agent 做一次凭据盘点，每个 token 列三栏：能碰哪些资源、许可哪些动作、多久过期。再问一句：若这个 token 此刻被注入套走，到期前最多能造成什么？答不上来的，就该换发收窄，或收进 broker。