过度代理（Excessive Agency）

过度代理的核心不是「模型坏」，而是权限设计失当：把「能删库」「能转账」「能读全部客户数据」的凭据一股脑交给 Agent，只为图省事。一旦模型被 prompt injection 诱导、或自身规划失误，一次错误调用即可造成不可逆损失。

OWASP 将其列为 LLM 应用十大风险之一（Excessive Agency）。

工具过宽：Agent 持有 shell 执行权却只需读文件。数据过宽：可访问全量数据库而非单条记录。动作过宽：能执行「永久删除」而非「软删除」。无确认：高风险动作零人工闸口。

遵循最小权限（Least Privilege）：只给完成任务必需的权限。分级动作：只读/写入/删除分档，删除与对外动作强制人工确认。作用域隔离：Agent 只在特定资源上下文运行。能力收敛：把「万能工具」拆成多个受限专用工具，降低单点破坏面。

过度代理的治理将标准化为「Agent 权限模型」：类似 RBAC 但带动作分级与运行时约束，平台默认拒绝高风险动作并强制确认，把安全责任从开发者个体转移到系统默认。