为什么需要专门管 AI Agent 的文件权限
传统企业网盘的权限模型是给「人」设计的：账号、组织架构、文件 ACL。但 AI Agent 不是人——它没有部门、没有职级、不会签 NDA，却需要批量读取企业文件来回答用户问题。如果直接让 AI 默认读取所有企业文件，等于把全公司的合同、客户资料、财务报表、产品规划一次性泄露给一个不可信主体。
企业上 AI 前必须先回答：这个 Agent 是谁？凭什么权限读哪些文件？它读完之后留下了什么痕迹？离职的人能不能让 AI 帮他「记起来」之前看不到的文件？
1. Agent 身份模型（Agent ≠ 人）
- Agent 实例化身份：每个 AI Agent（如 SaifanBox AI 助手 / 客户智能客服 / 内部知识库问答）对应独立的 Agent 主体，有自己的 agent_id、所属业务线、生效时间窗。
- Agent 委托身份：用户通过 Agent 提问时，Agent 以「用户身份 + Agent 实例」双重身份访问文件，权限取两者交集（不会越权）。
- Agent API Key 治理：所有 Agent 调企业文件 API 都走 X-Agent-Key 鉴权（saifan-agent 模块 / V30 已建表）+ allowedModules 限制能访问的模块。
2. 文件 ACL 与组织权限继承
- 三维权限矩阵：用户/角色 + 文件夹/文件 + 操作（读/写/分享/AI 召回）。Agent 仅能访问被显式允许「AI 召回」的文件。
- 默认禁止：所有文件默认 NOT_AI_READABLE，需要管理员显式打开 AI 召回开关才会进 RAG 知识库。
- 组织架构继承：员工部门变动时，AI 召回权限自动跟随组织架构同步（而非保留旧权限）。
3. RAG 召回权限（最容易越权的环节）
- 向量化阶段过滤：文件入向量库时记录 owner_id + dept_id + allow_ai_recall 三字段。RAG 召回时强制用 metadata 过滤（不是后置过滤）。
- 会话级权限检查：每次 AI 问答时，根据当前用户身份 + Agent 实例，从向量库召回 用户可见 + Agent 可访问 的文档片段。
- 细粒度遮蔽：召回片段含敏感字段时（身份证号 / 合同金额 / 客户手机），按用户权限实时遮蔽再交给大模型。
4. 访问审计（谁问的、AI 答了什么）
- 完整三段式审计：用户 prompt + Agent 召回文档列表 + AI 输出，全部留痕至少 10 年。
- 支持监管检查：审计日志以 JSON Lines 写本地存储 + 同步 Sentry / 日志中心，可按用户 / 文件 / 时间区间检索导出。
- 合规对齐：操作审计字段（who / what / when / where / why）满足等保三级与 ISO 27001 要求。
5. 私有化部署（数据不出企业机房）
- 大模型本地化：支持 DeepSeek / Qwen / ChatGLM / Llama 等开源模型在企业内私有部署，文件内容不发往任何公网 AI 服务。
- 向量库本地化：pgvector / Milvus 等向量库部署在企业内网，embedding 全程离线。
- 网络隔离：Agent 访问外网时走出网代理白名单（仅特定模型 API），文件内容必须脱敏后才能出网。
6. 离职 / 权限回收（防止 AI 「记仇」）
- 账号停用即时生效：员工离职时，账号停用立刻同步到 RAG 召回引擎，AI 不再为该账号召回任何文件。
- 历史会话清理：可选清理离职员工历史 AI 会话记录（防止 LinkedIn 联系人通过老员工旧 Agent 实例攻击）。
- AI 「遗忘」：离职员工经手的敏感文件，AI 召回时自动跳过（owner_id 黑名单机制）。
7. 行业场景
- 会计师事务所：审计底稿 AI 召回严格按客户 + 项目 + 审计期间隔离。离任合伙人的客户档案 AI 召回自动转交接替合伙人。
- 律所：利益冲突 AI 检索仅在当事人脱敏前提下进行，禁止跨案件召回原始合同条款。
- 医疗机构：病历 AI 召回严格按经治医生 / 科室隔离，科研 AI 召回基于伦理审批后的脱敏数据集。
- 金融机构：客户资料 AI 召回受合规策略约束（KYC / 反洗钱），所有 AI 输出留痕供监管检查。
- 制造业：图纸 / 工艺文档 AI 召回严格按项目组 / 涉密等级隔离，外包人员仅访问被授权图纸。
CTA
企业上 AI 数据底座之前先做一次 AI-Ready 文件权限体检：30 分钟在线诊断企业现有文件权限模型能否承接 AI Agent 访问。识别离职黑名单、AI 召回越权、影子访问 3 大风险点。预约请联系销售。
相关方案 · Agent 文件治理能力地图
赛凡的 Agent 文件治理是一组互相配合的能力，按需组合：
- 权限继承 RAG — AI 检索严格继承文件权限，答案带可点击出处
- MCP 文件网关（产品方向/在建） — 把文件能力以受控工具暴露给 Agent
- Evidence Pack 与审计回放（在建） — 每次 AI 输出可追溯、可举证
想看自己企业离 Agent-Ready 还差多少？预约 AI 权限体检 / 申请试用。
谁需要这个
要让 AI Agent 自动化处理企业文件（检索、整理、生成），又要 Agent 严格不越权、可审计的企业。
Agent 访问企业文件 · 权限与审计对照
| 关注点 | 裸接 Agent 的风险 | 赛凡的做法 |
|---|---|---|
| 权限边界 | Agent 可能访问无权文件 | Agent 在 17 级权限边界内访问 |
| 数据安全 | 文件可能外传第三方 | 私有化·数据不出域 |
| 可审计 | Agent 操作不可追溯 | 每次访问纳入完整审计 |
延伸阅读
如果你正在评估私有化 AI 的落地顺序，建议先看这篇文章：企业私有化 AI 文件权限管理：确保数据安全与合规的首要步骤。它解释了为什么 AI Agent 文件权限是模型、知识库和 RAG 之前必须先处理的底座问题。
AI Agent 访问企业文件，最先要控制哪几件事？
企业 AI Agent 服务落到文件处理时，首先要解决的不是模型能不能回答，而是 Agent 以什么身份访问、继承哪些权限、哪些动作必须审批，以及全过程如何审计。赛凡云盒把这些控制放在企业文件系统边界内，避免 Agent 默认读取全部资料。
- Agent 必须有明确身份，不能用超级管理员权限读取全部文件。
- Agent 检索、摘要、下载、改写、外发文件时要区分动作权限。
- 合同、客户资料、财务、研发图纸等敏感目录要单独设访问边界。
- 所有 AI 调用要能回看：谁发起、读了哪些文件、输出了什么、是否外发。
| 只做 AI 问答 | 仍然要约束知识来源和用户可见范围。 |
|---|---|
| 做 Agent 自动处理文件 | 必须增加动作审批、日志审计和异常告警。 |
| 接入企业私有云盘 | 可以继承已有文件权限和目录结构，降低重复治理成本。 |
继续评估：