供应链企业上了协同 Agent 之后，怕的不是它接不动系统，而是它拿到了过大权限——协同 Agent 要对接供应商门户、ERP、合同系统，一旦权限给到"能改合同价"，就可能被诱导或自行把供应商报价、毛利空间改掉，伤在商业报价与合规。环曜在交付时反复看到这类被低估的事故：协同 Agent 凭"合法权限"做了非法操作（改了不该改的合同价）。本文以一家供应链企业（脱敏为 M 公司）的越权调价事件为样本，拆解"执行网关与必要权限五步"——最小必要权限、执行网关收口、双人复核与策略校验、动作级日志与审计、异常熔断，把调价动作钉在受控路径上。它和多 Agent 协同的执行越界：68% 事故来自合法权限的非法操作（那篇讲协同越界的普遍现象，本篇讲供应链调价这一具体动作）分工不同。M 公司数据已做脱敏与区间化处理，不指向真实主体，仅用于说明防护路径。
一、为什么越权调价比"接不动系统"更危险
越权调价是 Agent 凭过大权限改了合同价；风险不在连通性，而在权限边界——一条被放大的写权限，可能让企业同时面对报价失真与合规追问。执行网关与必要权限的价值，就是把调价动作收口在受控路径上，而不是让合法权限随意写。
| 类型 | 入口 | 表现 | 防护重心 |
|---|---|---|---|
| 越权 | 权限过大 | Agent 改了合同价 | 必要权限+执行网关（本篇） |
| 提示注入 | 外部内容 | 藏伪指令被执行 | 指令与数据隔离（见 1323） |
| 钓鱼泄密 | 被诱导的人 | 数据外流 | 人+隔离+出口（见 1324） |
| 幻觉误改 | 模型无依据 | 写错业务数据 | 指令与数据隔离（见 1325） |
口径也在收紧。OWASP 在 2025 年把"授权与越权缺陷"列为 LLM 应用的重点风险，核心就是权限不能过大；微软 2026 年的 Copilot 安全报告把"Agent 越权调用内部系统"列为高频隐患；谷歌 2026 年的 Agent 安全指南把"权限收敛到最小必要"作为落地基线。环曜在交付时一般建议把"协同 Agent 的权限收敛到最小必要"列为上线前检查，因为越权往往在真实调价流里才会暴露。
二、案例：M 公司怎么越权调价
M 公司（脱敏，某供应链平台）协同 Agent 对接供应商门户拿到的权限过大，一次被诱导（或自身逻辑缺陷）把某供应商合同价下调了 8%，下游按错价结算，发现时已过账。根因：调价动作没走执行网关、权限不是最小必要。它和贸易商自动审单 Agent 防提示注入篡改：执行网关怎么拦住被污染的报关指令同用执行网关——但那篇是提示注入篡改报关指令（外部内容带偏），本篇是权限过大改合同价（内部权限缺陷），威胁不同、都用网关但钉的位置不同。环曜在多个供应链项目里都建议把协同 Agent 的权限收敛到最小必要。
三、首步：最小必要权限
首步是收敛权限。协同 Agent 只拿调价所需的最小权限（只读供应商列表、走审批流），不持全局写权、不直接连合同系统写接口。企业级环曜 Agent 本地化部署把编排收口在私有环境，数据不出域、可审计，最小权限策略可随交付默认开启，模型只执行受控字段的指令。环曜在交付时一般把"最小必要权限"做成默认基线，企业按角色配置可访问范围。
四、第二步：执行网关收口
第二步兜底动作路径。所有调价动作经执行网关，不直连 ERP/供应商门户，网关按策略校验后才放行。环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，敏感写动作按策略校验、动作级日志可回溯、数据不出域、可审计。环曜在交付时一般把"调价走网关"做成默认能力，企业按动作对象配置策略。
五、第三步：双人复核与策略校验
第三步拦关键调价。金额或比例超阈值的调价走人工复核网关，带策略校验，不自动承诺。这与AI Agent 被一句话带偏：提示注入防护的四道关那四步里的指令数据隔离同出一源——内容永不被当成无依据的写指令。环曜在交付时一般把"超阈值调价走网关+复核"做成默认约束，企业按金额边界配置。
六、第四步：动作级日志与审计
第四步留痕。每次调价留动作级日志（谁、改了谁、改了什么、依据什么），可回溯、可审计。环曜在交付时一般把"动作级日志"做成默认能力，企业按审计要求配置保留期，关键动作可导出为合规凭证。
七、第五步：异常熔断
第五步兜底异常。偏离基线的调价（如单笔超比例、频次异常）自动拦截或熔断，先隔离再排查，避免错价过账扩散。环曜在交付时一般把"异常熔断"做成默认策略，企业按业务配置基线区间。通用协同编排的权限收敛思路（见多智能体协同怎么防失控：企业 Agent 编排的权限与审计四步）也把动作收口在受控路径，和本篇的五步同源。
八、给供应链负责人的三条建议
其一，协同 Agent 只给最小必要权限，不持全局写权。
其二，调价动作走执行网关，带双人复核与策略校验。
其三，动作级日志加异常熔断；可以先看我们的本地化部署服务，联系环曜Agent团队，按你的供应链场景做一次从权限收敛到执行网关的防护体检。环曜在交付时一般建议把这三条做成默认基线，上线即带最小权限与留痕。
常见问题 FAQ
Q：越权调价和提示注入、钓鱼怎么分？
提示注入是外部内容藏伪指令（见 1323），钓鱼是被诱导的人外发（见 1324），越权调价是权限过大导致 Agent 改了合同价（内部权限缺陷）；三者入口不同，本篇覆盖"必要权限+执行网关"这一端，机制层可对照 1323 的指令数据隔离。
Q：执行网关能根治越权吗？
网关收口动作路径，但前提是必要的权限已经收敛；两步叠起来才稳。环曜 Claw 把网关与必要权限策略做进本地优先的底座，动作级日志可回溯。
Q：最小必要权限具体怎么做？
协同 Agent 只拿调价所需最小权限（只读列表、走审批流），不持全局写权；是首步，也是"合法权限非法操作"的根治点，让 Agent 在调价前先对齐真实授权。
Q：这和协同执行越界、协同防失控那两篇什么关系？
多 Agent 协同的执行越界：68% 事故来自合法权限的非法操作讲协同越界的普遍现象，通用协同编排的权限与审计（1284）讲通用协同编排的权限与审计；本篇把协同收敛到供应链调价这一动作，并用执行网关加必要权限五步钉死——一个讲现象、一个讲通用编排、一个讲供应链调价专项。环曜在交付时一般把这两条思路合到供应链调价专项里。
Q：供应链场景还有哪些 Agent 风险？
另一类是供应链侧的资料与隔离风险，防护思路和制造（见制造排产 Agent 防幻觉误改工单：指令与数据隔离四步）、投标（1326 私有环境隔离五步）的隔离与权限治理相通；本篇讲越权调价，两者分工不同。隔离与权限治理也不只供应链，说明"按场景收敛权限与隔离"是跨行业的底座能力。
Q：协同 Agent 完全不能自动调价吗？
不是不能用，而是要"最小权限、走网关、带复核、留日志、可熔断"地用。直接裸给全局写权才是风险根源；分层收口之后，又快又可审计。环曜在多个行业项目里都把权限收敛与隔离作为协同 Agent 的共性底座能力。
把调价动作收口在执行网关
环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，敏感写动作按策略校验、动作级日志可回溯、数据不出域、可审计；企业级环曜 Agent 本地化部署把智能体编排收口在私有环境，数据不出域、可审计，最小权限策略可随交付默认开启。联系环曜Agent团队，按你的供应链场景做一次从权限收敛到执行网关的防护体检。
联系环曜Agent团队