你的 Agent 一删就删库，权限门怎么配？

01一个反共识：allowlist 不是 blocklist

两种思路看似都能拦危险操作，实际天差地别：

• blocklist（黑名单）：默认放行，列出"禁止的"。问题是你永远列不全——新命令、组合命令、你没想到的危险，全漏过去了。出事是迟早的。
• allowlist（白名单）：默认拒绝，只列出"允许的"。新操作默认被拦，要你显式放行才生效。漏放最多是"用不了"，不会"闯祸"。

Agent 的能力边界是动态的（今天加个工具、明天换个模型），blocklist 追不上；allowlist 让每个新能力都先过你这一关。这就是"最小权限"的本质——不是限制，是控制权。

02allowlist 配置器：三档权限

每个工具按风险分三档：允许（自动执行）、审批（要人点确认）、拒绝（永不放行）。下面给一个典型编码 Agent 的工具清单，你来配，看 Agent 的能力边界怎么变。

03审批流：什么时候打断人

不是所有操作都该自动，也不是所有都该人审。打断人太频繁，Agent 没效率；打断太少，出事。三条经验线：

1. 读操作默认允许：读文件、查日志、grep——不改变状态，自动放行。
2. 写工作区默认审批：改代码、建文件——可逆，但要看一眼，审批。
3. 碰生产/外部默认拒绝：删库、发邮件、改 CI——不可逆或外溢，直接拒，要专门开白名单。

审批流的关键是给足上下文：打断人时，把"要做什么、为什么、影响什么"一次性给全，别让人猜。否则审批变成橡皮图章，等于没配。

04带走这套清单