如何安全使用AI工具?从“最小权限原则”开始

传统软件的行为是固定的：你点击按钮，程序执行预设的功能。AI智能体（Agent）则不同，它被赋予一个目标后，会自主调用外部工具、读写文件、发送消息甚至执行代码。它拥有的权限，直接决定了它能做多大范围的事。这意味着，AI越能干，它的权限范围就越大，一旦失控，影响面也越广。

这个风险并非停留在理论推演层面。2025年6月，微软修补了Microsoft 365 Copilot中被命名为EchoLeak的漏洞（CVE-2025-32711，CVSS评分9.3），这是业界已知的首例AI智能体“零点击”攻击：攻击者只需发送一封精心构造的邮件，无需任何人点击，就能让Copilot把企业内部上下文发送给攻击者。同年，Invariant Labs的研究人员演示了另一类攻击：在一个公开代码仓库的议题中嵌入隐藏指令，当开发者让接入官方GitHub MCP服务的AI助手“查看未处理的议题”时，该助手会读取私有仓库内容，并将其写入公开可见的地方。这两个案例的共同点，不是模型“出了毛病”，而是智能体在不知不觉中拥有了超出当前任务所需的访问能力。

对个人用户而言，风险更多出现在日常环节。斯坦福大学人本AI研究院的研究人员对六家主流AI公司的隐私政策进行了系统梳理，发现这些公司默认会将用户与聊天机器人的对话用于模型训练，部分公司甚至不提供退出选项。研究负责人明确指出，用户在对话中提供的敏感信息，“即使是以单独上传的文件形式出现，也可能被收集并用于训练”。中国青年报社社会调查中心2026年的调查也显示，超八成（83.6%）受访青年担心AI工具带来个人隐私安全问题。

权限分级阶梯——只读、受限、读写系统级三级示意插画

并非所有AI工具的权限风险都处在一个量级。可以参考智能体分级治理的思路加以区分。

沙盒受限级。AI仅在特定应用或文件夹内工作，例如编程助手在编辑器内部处理代码、办公助手在隔离环境中运行。这类应用通常只读取你明确指定的内容，无法访问系统其他部分，是相对可控的默认选择。

用户完整权限级。AI获得与使用者本人等同的系统权限，可以执行任意命令、读写大部分文件。不少编程助手、浏览器智能插件处于这一层级，需要在使用中持续留意其实际行为。

系统级权限级。AI获得操作系统的特殊权限，可以跨越应用隔离边界。对这类产品，尤其是需要屏幕录制、读取全盘路径的，应格外谨慎。

需要强调的是，分级的目的是帮助你判断风险，而非给任何一款具体产品下结论。同一款工具，在不同权限设置下可能属于不同层级。

所谓“最小权限原则”，通俗地说就是：完成这项任务，到底需要哪些权限，就只给哪些，而且能给只读就不给读写。它同时约束四个层面：账号只访问特定目录，不以管理员身份运行；网络出方向设置白名单；数据库与文件服务只开放必要范围；高危操作默认关闭、用时再开。

对个人用户，这一原则可以落实为三条习惯。

先问“这项功能真的需要这个权限吗”。通讯录、相册、麦克风、位置等信息，与工具核心功能无关的索取请求，可以直接拒绝。这一点已有明确的监管依据：中央网信办2026年6月11日发布的《关于30款App个人信息收集使用问题的通报》，点名“强制或频繁索要非必要权限”； 海南省网信办2026年6月26日通报“DeepAI翻译官”等8款App、“AI红単”等11款小程序违法违规收集个人信息这些案例说明，“权限是否与功能相关”不是小事，而是有明确法律边界的问题。

从“只读”起步，逐步放开。让AI读取你指定的某个文件夹以整理资料，与允许它删除文件、发送邮件、执行代码，风险等级完全不同。下载与运行要分开确认；看到“下载即执行”的命令（如将网络内容直接通过管道传给解释器执行），更应保持警惕。

把最终决定权握在自己手里。对邮件发送、财务处理、涉及身份与科研数据等不可逆、高风险场景，应保留人工确认环节。AI可以提升效率，但最终授权与最终责任仍应由人承担。

安装AI应用优先通过官方应用商店，不使用来源不明的“破解版”“内测版”，安装前查看权限说明，不随意一路点击“同意”。

为AI创建独立的、权限受限的账户。不要让AI长期工作在管理员账户旁、主浏览器已登录状态或主密码库附近。

敏感文件、账号密钥、科研数据不长期暴露在AI可访问范围内。处理身份材料、病历、工资单据等高度敏感资料时，尽量使用本地工具。

定期核查手机的权限授权清单，对不再使用的应用及时收回权限。国家互联网应急中心发布的AI智能体应用风险提示中，也将“不下载来源不明的非官方工具”列为重要建议。

留意聊天内容的去向。在使用公网AI工具时，可以在设置中查看是否存在“用于模型改进”一类选项，并主动选择退出；涉及个人隐私、学校数据、未公开科研成果的内容，避免直接粘贴。