让 AI 帮你整理文件，它不该顺手读取无关记录，更不该获得删除整块磁盘的权力。可现实中的工具Agent——能调用终端、数据库或外部服务的模型——即使完成了任务，也可能动用用户没授予、任务不需要的权限。这篇论文尝试让模型主动学会“最小权限”，而不只靠系统在危险操作前拦截。
作者为每项任务划定“足够权限”的边界，并在操作执行前、观察实际结果后各审计一次，检查状态修改、代码执行、敏感数据访问等六类风险。随后，他们用1500项任务训练Qwen3.5-4B。作者报告，在覆盖500项未见任务的2896次评测中，所选模型的“安全成功率”从基础模型的64.36%升至98.48%，越权事件率从4.56%降至0.79%。这里的安全成功不只要求把事办成，还要求证据、最终状态和权限使用都合格。
这项工作的要点不是取消权限弹窗或沙箱，而是让Agent从一开始就少提出不必要的高权限操作。作者也明确说，它只能作为额外防线，不能替代权限门控与隔离环境。