我给 AI agent 一个看似无害的权限，它却成了所有人的后门

作者称其在工作中构建了一个运维 agent，只给它一个写工具：开 pull request（不能合并）。但 agent 的 token 具备 push 能力，因此任何对该仓库有只读权限的人都能让它代为开 PR，形成越权入口。作者强调在系统提示词中加限制无效，因为 API 调用仍以 bot 的 token 执行，并介绍了自己加在 agent 前的检查措施。

AI推荐理由 作者自述在内部构建 ops agent 时只授予一个写工具（开 PR，不含合并），但 agent 的 token 具备 push 权限，导致任何对该仓库有只读权限的人都能借它开 PR，形成越权通道；作者指出系统提示词无法修复，因为 API 调用仍以 bot token 执行。这是来自一线实践的具体权限设计教训，对 agent 工具权限最小化有参考价值，但为个人博客转述、无第三方验证，且未给出完整复现细节。