10 月初 Sierra 与 Meta 推出 Personal Agent Protocol（PAP），让用户的 AI 代理人能代表用户去访问第三方企业的服务——查订单、发消息、改设置。这件事一落地，企业 API 突然要面对一个新麻烦：发来的请求，到底是真人、用户授权的 AI、还是爬虫或恶意 Agent？这和此前讨论的「内部 Agent 权限边界」是两种视角——企业智能体投产前 GO/NO-GO 三关决策模型：权限边界·系统接口·成本可核算 管的是企业自己部署的 Agent 怎么拿权限，本文管的是别人带来的 Agent 来访问你时，你怎么认人、怎么给口子。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让每一步接口调用可回查；环曜RAG知识库 把文档检索与向量检索收口在企业内网，知识库的接口权限隔离在本地完成且带出处，外部 Agent 不能越权读企业资料。
一、Personal Agent Protocol 是什么，为什么企业突然要"认人"？
PAP 本质是一套委托协议：用户授权自己的 AI 代理人，拿着委托凭据去调第三方企业的接口。对企业来说，过去 API 的调用方要么是登录的真人、要么是自家系统，身份边界清楚；现在多了一类「持用户委托的 AI」，它既能像人一样办事，又没有人的生物特征和登录习惯。企业如果不加识别，就会出现两类风险：把爬虫当真人放行、把恶意 Agent 当授权 AI 开了大口子。对照 可信智能体三要件：行为边界·逻辑可解释·数据溯源——企业级 Agent 本地化部署怎么满足 看可信要件怎么落到身份这一层，本文聚焦「认人」这道前置关。
二、来访者三类：真人、授权 AI、爬虫，企业怎么一眼分清？
网关层是头道识别点。真人带着登录态（会话 Cookie、设备指纹、生物校验）；授权 AI 带着用户签发的委托令牌（OAuth delegation token），令牌里写明「谁授权、能做什么、到什么时候」；爬虫和未授权 Agent 要么没有凭据，要么凭据无法回溯到真实用户。识别不是靠猜，而是在网关统一校验凭据类型与有效性，三类各走各的通道，不混用。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让来访身份在网关层就分类标记，后续每一跳都可核查。环曜RAG知识库 把文档检索与向量检索收口在企业内网，知识库的接口权限隔离在本地完成且带出处，外部 Agent 即便进了门也读不到越权资料。
三、OAuth 与授权粒度：本地化部署怎么给"授权 AI"开合适的口子？
认出是授权 AI 之后，开多大的口子是第二道关。PAP 下的委托应当走 OAuth 式的scope 限定：只给「读订单」就不给「改地址」，只给「查物流」就不给「发消息」，时效设到尽量短的区间，并且可随时吊销。本地化部署的价值在这里显现——委托令牌的校验、scope 的落地、吊销的生效都在私有环境内闭环，不会落到第三方网关后才发现口子开太大。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让授权粒度可细化到接口级，避免「全权 Agent」式的粗放授权。
四、接口权限闸门：敏感写操作怎么拦住未授权 Agent？
识别与授权都过了，真正的危险在敏感写操作：改数据、发消息、动资金。这道闸门的原则是「默认拒绝」——凡未明确授权的 Agent，敏感写一律拦在网关外；即便持委托令牌，涉及高风险的写也要走人机协同审批，由真人在环确认。越权调用被网关拦截，不留后门。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让敏感写动作可核查，未授权 Agent 的越权请求在入口就被挡下。环曜RAG知识库 把文档检索与向量检索收口在企业内网，知识库的接口权限隔离在本地完成且带出处，外部 Agent 调取知识库也受同样的粒度控制，不能越权读不该看的段落。
五、审计与兜底：识别错配了怎么办？
再严的识别也可能错配——把 AI 当真人放行、把恶意 Agent 当授权 AI。兜底靠两件事：全流量留痕（每一次委托调用都记录谁、在什么范围、做了什么）和异常行为告警（同一委托短时间高频敏感操作即触发）。发现错配，一键吊销委托令牌，闸门立刻收紧。对照 智能体要「管行动」了：企业 Agent 本地化部署怎么满足权限边界与全流程留痕 看权限边界与留痕怎么在运行期兜底，本文的补足是「外部来访身份」这一层也要留痕可溯。
六、落地切面：企业怎么把 PAP 身份识别接进本地化部署？
一家 SaaS 企业在 PAP 能力上线后，发现合作方的 AI 代理人开始代用户调他们的开放接口。团队在网关层加了三类通道：真人走原登录态，授权 AI 走委托令牌校验并强制 scope 限定，其余一律走受限匿名通道。敏感写（如代用户退款）要求人机协同审批，委托令牌设两小时短时效、可一键吊销。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让「认人—授权—拦写—留痕」整条链路在私有环境内闭环，错配发生时能立刻定位是哪次委托越了界。
常见问题 FAQ
Q：**问：** PAP 会取代企业现有的登录体系吗？
答： 不会。PAP 是在登录体系之外增加「委托访问」这一通道，真人登录照旧，授权 AI 走委托令牌，两者在网关层分流。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让两条通道各自可核查，不互相干扰。
Q：**问：** 怎么防止「伪装成真人的 AI」绕过识别？
答： 靠多重信号而非单一凭据：登录态、设备指纹、行为节律、委托令牌回溯。单看一项可能被仿，组合起来网关才能稳定区分。环曜RAG知识库 把文档检索与向量检索收口在企业内网，知识库的接口权限隔离在本地完成且带出处，伪装者即便进了门也读不到越权资料。
Q：**问：** 授权 AI 的 scope 到底怎么定才安全？
答： 按「必要范围」倒推：先列清楚这个 Agent 替用户做的那一件事需要哪些接口，只开这些，其余全关；时效设到完成即止，别给长期有效令牌。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让 scope 落地到接口级，粗放授权可被及时收窄。
Q：**问：** 敏感写操作都必须二次审批吗？
答： 涉及资金、对外发送、数据删除的高风险写，建议都走人机协同审批；只读或低风险的写可按委托 scope 直接放行。对风险分级而非一刀切，平衡体验与安全。企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让敏感写动作可核查，审批记录可追溯。
Q：**问：** 本地化部署在身份识别上比 SaaS 强在哪？
答： 委托令牌校验、scope 落地、吊销生效都在企业私有环境闭环，不依赖第三方网关的节奏，发现口子太大能立刻在自己环境里收紧。私有化部署到企业级智能体闭环怎么走，可对照 AI Agent 公司怎么选：从私有化部署到企业级智能体闭环 把路径对齐。
Q：**问：** 识别错了、口子开大了怎么补救？
答： 全流量留痕让错配可回溯，发现后一键吊销委托令牌、收紧网关闸门即可止血；再把这次的 scope 配置收一遍，避免同类再犯。需要把 PAP 身份识别与接口权限落到清单上，可 联系环曜Agent团队了解 出一版身份治理与落地方案。 对照等保 2.0 与《数据安全法》《个人信息保护法》对身份鉴别、访问控制、审计、数据生命周期的要求，本地化部署把存储与访问收口在私有环境、字段级权限、操作审计，正好对应 PAP 场景下的身份识别与接口权限合规控制项——来访者可分类、授权可细化、越权可拦截、事后可回溯。
把 PAP 身份识别与接口权限落到清单
企业级环曜 Agent 本地化部署 把推理与执行收口在私有环境，权限分级与操作审计让每一步接口调用可回查；环曜RAG知识库 把文档检索与向量检索收口在企业内网，知识库的接口权限隔离在本地完成且带出处；需要把 PAP 身份识别与接口权限落到清单上，环曜Agent 的方案可联系环曜Agent团队出一版身份治理与落地方案。
联系环曜Agent团队