1. 引言：当 Agent 开始“动手”写东西从“只读问答”到“自主执行”的 Agent 进化路径一个真实场景：Agent 帮你改代码、写文件、执行命令，你敢让它碰生产环境吗？引出核心矛盾：Agent 的能力上限与权限失控的风险下限本文要回答的三个问题：风险在哪？边界怎么划？落地怎么做？2. 为什么“写权限”是 Agent 安全的分水岭读权限 vs 写权限的本质差异：可观测性、可逆性、影响范围写权限带来的三类典型风险数据破坏：误删、覆盖、格式错乱逻辑注入：Agent 被 prompt 注入后执行恶意写入权限放大：写文件 → 写配置 → 写系统 → 横向移动一个事故复盘：某团队给 Agent 开写权限后发生了什么3. Agent 写操作的信任模型信任的三个维度：身份信任、行为信任、结果信任最小权限原则在 Agent 场景下的重新诠释人机协作的信任分级L0：完全人工确认L1：高风险操作人工确认，低风险自动执行L2：规则内自动执行，规则外人工兜底L3：完全自主（当前不建议生产环境使用）信任不是“开或关”，而是一条可动态调节的连续光谱4. 权限控制的工程实现方案方案一：操作系统层权限隔离专用低权限用户、容器、沙箱、只读文件系统方案二：应用层权限网关