原文：Agent identity: a new access model for autonomous, team-wide AI · Noah Zweben, Anthropic · 2026-06-24
引言：从「借你的号」到「自己有账号」
大多数人第一次给 Agent 接权限，用的都是同一个办法——让它以我的身份去干活。它调 GitHub 用我的 token，查数据库用我的账号，发 Slack 消息署我的名。这套「act as the user（以用户身份代理执行）」在一人对一助手的场景里非常自然，几乎不需要设计。
问题是，Agent 早就不只在「一人对一助手」的场景里跑了。它开始自主排期、在你下线后继续响应事件；它开始待在多人共享的频道里，同时服务一屋子的工程师和 PM。这时候再问「它借谁的号」，就没有一个正确答案了。
Anthropic 在这篇文章里给出的回答很干脆：别再借号了，给 Agent 一个自己的账号。 权限的锚点，从「这个用户能做什么」搬到「这个 Agent 在这个隔间里能做什么」。这就是 Agent Identity（Agent 身份）。
下面按原文的逻辑，一层层拆开看。
一、「以用户身份代理」为什么会崩
原文把失效的原因归到两个正在同时变强的趋势上——它们叠在一起，让「借号」这套模型再也兜不住。
驱动一：Agent 自主性在快速增长。 原文给了一个很有画面感的数字——Agent 能可靠独立完成任务的时长，大约每四个月翻一番。这意味着 Agent 越来越多地在「提出请求的人已经下线」之后继续工作：自己安排后续任务、自己响应新事件。如果它借的是某个人的身份，那么当这个人合上电脑、权限语境已经不在场时，这份「代理」在语义上就变得可疑——到底是谁在授权这次操作？
驱动二：团队是多人的。 Claude 现在常驻在共享频道里，比如三名工程师加一名 PM 一起调试的那种频道。多人同时「驾驶」同一个 Agent，该用谁的权限？工程师有 repo 写权限，PM 没有；如果按发起人取权限，同一句 @Claude 换个人问就换套权限，行为就不可预测了。原文的判断是：没有任何单一用户的权限，能在所有情况下都正确。
两条合起来，逼出了那个关键的问题转向：
从「这个用户能做什么？」，变成「这个 Agent 在这个隔间里能做什么？」
这一句就是整个模型的地基。
二、身份模型如何运作：工作区定基线，频道可覆盖
既然权限属于「频道里的 Agent」，那它就得有个不依附于任何人的身份。原文的做法是——Claude 以自身身份行动（Claude acts as itself）：在 Slack 里以 Claude 应用身份发帖，以 Claude GitHub App 身份开 PR，用管理员配置的服务账户查数据仓库。因为全程不碰个人凭证，共享频道也就永远不会变成「窥探他人私密文档的侧门」。
那这份身份具体由谁、在哪一层定义？答案是两级：工作区定基线，频道来覆盖。
管理员在工作区级别定义一套基线 Profile，每个频道默认继承；需要时再在频道级别覆盖。可配置的东西不止凭证：
- 仓库访问：Claude 可以读写哪些 repo；
- 连接器（Connectors）：工具与 API 密钥——同一个服务可以用不同密钥挂不同权限级别，比如通用频道给只读密钥、数据团队私有频道给可写密钥；
- 技能与插件（Skills and plugins）：动态加载的指令、脚本、资源文件夹；
- 常驻指令（Standing instructions）：每个频道自己的自定义指令与上下文。
这套「继承 + 覆盖」的好处，在图里那三个频道上一眼可见：#general 原样继承基线（只读），#eng 覆盖成 GitHub 与数据仓库可写，#legal 反向收窄到只剩法务连接器。权限既有统一的默认盘，又能按频道各自收放。
管理上还有一个很爽的性质：撤销身份，就等于一次性收回 Claude 用这个身份去过的所有地方的访问权——比起在几十个用户账户下逐一审计某个 Agent 的行为，省力得多。
三、身份边界：每个私有频道都是一个隔间
多人协作最怕的就是「越权」和「串味」——工程频道的 Claude 顺手翻出了法务合同，法务频道的 Claude 把敏感讨论带到了公共空间。Agent Identity 用身份边界把这件事从制度约束变成了结构约束。
规则很清楚：每个私有频道拥有独立身份，公共频道共享工作区级身份。 于是：
- 法务频道里的 Claude 身份，触不到未授权的代码；工程频道里的身份，读不了未授权的法务文档；
- 记忆与访问都遵守边界——Claude 在私有频道里学到的东西，永远不会冒到更大的工作区里去。
这里有一个乍看「不太寻常」的设计，原文自己也承认：它偏离了传统按用户的 ACL。一个对某 repo 没有直接访问权的频道成员，只要频道 Profile 授予了 Claude 该权限，他就可以让 Claude 去读那个 repo。换句话说，权限属于「频道里的 Agent」，而不属于提问的个人。这在按用户建模的世界里很反直觉，但对「自主、多人的 Agent」来说，原文认为这是必要的一步。
那「谁能让 Agent 干活」怎么管？频道内任何人默认都能 @Claude；管理员可以把频道 Profile 收紧到频道内权限最低的成员。企业版再叠一层基于角色的访问控制（RBAC）——于是频道同时管两件事：Agent 能触及什么，以及谁能向它提问。
顺带一提私信（DM）：DM 与共享频道的逻辑不同——DM 跑在用户个人的 claude.ai 账户上，用个人的连接器、凭证、署名。所以那些「不该出现在频道里」的活儿——写邮件草稿、用只有个人持有许可证的软件——就放进 DM 里做，天然和团队隔间分开。
四、宽泛的默认访问：价值随上下文复合增长
有了这么细的隔间和边界，直觉上会想「那就把权限收得越紧越好」。原文却给了一个反方向的建议，而且是来自 Anthropic 自己的内部实践。
核心观察是：Claude 的价值，随它能访问的工具与上下文而复合增长。 它真正的本事是跨系统组合上下文——把一条 Slack 线程、一份 Drive 文档、一张工单和一次数据仓库查询，汇成同一个连贯的答案。价值来自「组合」，而不是任何单一数据源；你每多接一个可信来源，收益不是相加，而是相乘。
所以原文观察到：获益最多的团队，是一开始就慷慨授权、再按管理员偏好逐步收窄的那些团队，而不是一上来就把门关死的团队。推荐的落地路径是三步：
- 少量频道起步——先从基线 Profile 开始，别铺太广；
- 阅读审计记录——看 Agent 实际是怎么用这些权限的；
- 逐一谨慎扩展——在真正有工作需要的地方扩权。需要更细时，可以在特定频道禁用 Claude Tag，或用 RBAC 限制特定用户。
这是一条「先放后收、以审计为准绳」的路径，和「先假设最坏、把一切默认关死」正好相反。
五、安全与审计：隔离、阻断、可归因
宽泛访问听起来很吓人，能让人放心的前提是——底层的安全与审计足够硬。原文把这块讲得很实在。
四道机制串起来看：
- ① 凭证隔离存储：管理员往频道 Profile 加连接时，凭证独立存储、映射到该频道身份，只在请求时于网络边界注入——不会落进对话或模型上下文里。
- ② 出站流量默认拒绝：对管理员未允许的主机，出站一律阻断。这直接把 SSRF、数据外泄这类风险按在了网络层。
- ③ Agent 以自身服务账户行动：不借个人凭证，所以每个动作都能归因到 Agent 身份本身。
- ④ 全量日志：每一次例程、每一次记忆写入、每一次网络调用都被记录；又因为 Claude 是以自己的服务账户行动，这些行为也会同时进入各个被连接系统自己的日志——审计侧有两份可交叉核对的记录。
再往前看，原文给了两个「下一步」，都指向更细粒度、更短时效的授权：
- 即时（Just-in-Time）凭证授予：用户可以临时批准单次敏感操作，用完即回收，而不必永久扩大 Agent 的权限范围——最小暴露面；
- 身份感知覆盖层（identity-aware overlay）：面向权限结构复杂的组织，在 Agent 权限之上再叠一层用户级检查——只有当频道 Profile 与发起用户自身权限都允许时，Claude 才行动，即「双同意」。
六、对自建 Agent 平台的启示
这篇文章名义上讲的是 Claude Tag，但它抽出来的几条原则，对任何做「团队级 Agent 平台」的人都能直接借鉴：
- 别再让 Agent 冒用人类身份。 给 Agent 独立的服务账户，行为才可归因、可审计、可一键回收。用户凭证与 Agent 权限混在一起，是安全和合规的长期负债。
- 把权限的作用域从「用户」改造成「场景/隔间」。 频道、项目、工单、会话都可以是「隔间」。同一个 Agent 在不同隔间里应当是不同的权限主体。
- 用「继承 + 覆盖」两级模型管权限，而不是给每个隔间从零配一遍——既能有统一基线，又能局部收放。
- 记忆也要有边界。 Agent 的长期记忆若不做隔离，就是一条绕过 ACL 的隐蔽数据通道；私有语境学到的东西不能泄进更大范围。
- 默认宽、以审计收窄，而不是默认死锁。前提是审计日志必须完整、可交叉核对，否则「先放后收」就成了「只放不收」。
- 出站默认拒绝 + 凭证边界注入，是给宽泛访问兜底的两块基石，别等出事才补。
带走清单
从单人助手到多人队友，这一步转变让长周期、团队化的 Agent 工作成为可能。而 Agent Identity 要解的，本质上是同一个平衡题——让 Agent 的访问权宽到足够实用，又限到在企业规模下依然安全。
它给出的答案，可以浓缩成一句话：不要问「这个人能做什么」，要问「这个 Agent 在这个隔间里能做什么」。 当 Agent 拥有了自己的身份，权限、边界、记忆和审计才第一次有了一个稳定的、可治理的锚点。
「真诚赞赏，手留余香」
爱折腾的工程师
真诚赞赏，手留余香
使用微信扫描二维码完成支付
