AI agent 最危险的权限，可能只是一串 API key。 Claude Code、Codex 这类工具一旦接过 k…

AI agent 最危险的权限，可能只是一串 API key。

Claude Code、Codex 这类工具一旦接过 key，就像临时工拿到了公司门禁、财务卡和后端钥匙。 它能写代码。 它也能调用接口。 它还能在一个错误指令里，把预算一路烧穿。

过去写程序，人是操作员。 API key 放在环境变量里，日志别打印出来，权限别给太大，已经算有安全意识。

agent 出现以后，情况变了。 它开始自己拆任务，自己跑命令，自己连服务，自己决定下一步。 这时候还把一把裸 key 递过去，等于默认它永远理解你的边界。

所以现在有人把问题往基础设施层推。 开源的身份、访问、成本控制，开始被放到 Claude Code、Codex 这类 agent 前面。 先确认它是谁。 再决定它能碰什么。 最后限制它最多能花多少钱。

这听起来像企业安全里的老话。 但放到 agent 时代，味道完全变了。

以前权限管理管的是人。 后来管的是服务。 接下来要管的，是一群会替人行动的软件劳动力。

每个 agent 都应该有身份。 每次调用都应该有边界。 每一笔 token 和 API 成本，都应该有上限。

真正的变化在这里。 AI 工具不再只是聪明的编辑器。 它开始进入公司的权限系统、账本系统和责任系统。

谁还在把 API key 直接塞给 agent，谁就在用 2016 年的 DevOps 习惯，管理 2026 年的软件工人。