AI 不得自主执行的资产操作

01结论：边界先写清楚，再谈上线

资产系统中，一项动作的可执行范围有三种形成方式：在系统上线之前写入动作定义；上线之后依靠制度文件与人工复核加以约束；在出现后果之后以补丁方式追加限制。第一种可以在评审会上逐条展示与核对，第二种依赖具体执行者的自觉，第三种意味着该条边界在此前并不存在。

本文讨论第一种。核心判断是：AI 在资产系统中的权限边界应当先写清楚再上线，而不是待出事后补入。这一判断有两项直接后果：其一，边界属于系统设计的一部分，与使用者的操作习惯无关；其二，边界必须能够被外部核对，否则无法作为内控与审计的依据。

02三档清单：可自主、需确认、不可见

按风险对动作分级之后，AI 与外部 Agent 的权限边界收敛为三档。三档的划分依据是动作的后果是否可逆、是否产生账务记录、是否改变权限本身。

表 1 · AI 在资产系统中的三档权限边界
档位	范围	机制
可以自主执行	识别、检索、预演、计算、建议	读操作与 `dryRun` 预演不产生写入，可以放权
必须人工确认	改账、报废核销、权限变更、调整折旧规则，以及性质同类的其他动作	在动作定义上标注需人工确认；未携带确认的调用一律拒绝执行，取消确认等同于取消审批，系统不提供该项配置
只读角色不可见	全部写操作	权限判定在服务端完成：工具清单按账号权限生成，只读角色拿到的清单不含写操作；并非调用时被拦截，而是清单生成时即未列入

第三档的位置值得单独说明。以只读角色接入时，写操作既不在菜单上，也不在工具清单中，因此不存在「试探之后被拒绝」这一情形。前两档依靠动作定义与执行环节约束调用，第三档在生成清单时即已完成裁剪，客户端没有可试探的对象。

口径：截至本文发布，动作契约共 247 条，覆盖 35 个业务域，该账号可见工具数由系统实时返回。该清单可由演示环境核对。

03为什么必须由人签下那一笔

需要人工确认的动作有两个共同特征：执行之后不具备可逆性，例如报废核销与权限变更；以及会改变账务或权限口径，事后需走完整的更正流程。对这类动作，效率上的收益无法抵偿一次错误执行的代价。

确认要求写在动作定义上，不交给调用方自行判断。全部写操作经由同一条执行管道（executeAction），参数校验、权限裁决、预演、人工确认、幂等与审计均在该管道内部完成，与调用方是 Web 控制台、内嵌 AI 助手还是经 MCP 接入的外部 Agent 无关。由此，「Agent 不绕过审批」属于结构性的结果：它没有可以绕过的路径。

一项需要内控与审计留意的事实：人工确认不是运行期可关闭的开关。确认要求固化在动作定义中，停用确认等同于取消审批，系统不提供该配置项。评审时可以就此提问：取消确认的路径是否存在，若不存在，依据在何处。

04留痕写在何处，如何用于复核

审批要成立，审批人必须知道自己在批准什么。若提交给审批人的仅是一句自然语言描述，审批人只能依据该描述作出判断，而描述与将要执行的动作之间可能存在偏差。 EAMX 的处理方式是先预演、后确认：执行之前请求预演，系统返回将要发生的结果，包括哪些字段将变为哪个值、哪些关联记录将随之变化，且不产生任何写入；审批人依据预演结果决定是否确认。

确认之后进入记录环节。每一次写入均记录通道、身份、动作、参数与结果，据此可以回答「该条资产状态由谁、在何时、通过哪条通道修改」，其中包含由 Agent 代为操作的情形，授权来源一并留存。网络重试或程序重复提交由幂等键（idempotencyKey）处理，同一次调用只生效一次，不产生第二次入账。

三者合并之后形成一条可复核的链条：动作有定义、执行有唯一入口、结果有记录。审计抽样的对象因此从「人的操作」扩展到「通道与动作的组合」，而每一笔仍可回到具体的人。

依据：统一执行管道（executeAction）的环节划分与审计记录字段；dryRun 预演返回结构与幂等键的实现记录。

05责任如何划分，以及不承诺什么

引入 AI 之后，责任主体并未发生转移。系统提供依据、预演与记录，资产处置、预算分配、责任认定等判断仍由有权限的人员作出。以下四项为本文不作承诺的事项。

表 2 · 本文不承诺的事项与相应边界
事项	边界说明
不承诺识别准确率 100%	识别结果带字段级置信度，低置信度字段需人工复核；置信度阈值为可调整参数，其调整不改变人工复核的必要性
不承诺完全无人值守	高危动作在动作定义上固定要求人工确认，该项要求不属于可配置内容
不承诺替代管理判断	系统提供依据与预演，不承担决策责任；AI 的部分以本页第 04 节所述记录范围为限
不构成对任何标准的认证	ISO 55000 系列为方法论依据；认证的对象是组织，而非软件，系统设计本身不构成符合性认定

第二项与第三项是内控评审中最常被追问的两条。前者的含义是人工确认不可取消，后者的含义是系统不承担判断责任。两条同时成立时，AI 的定位清晰：它承担识别、检索、预演与建议，并执行已获确认的动作，判断与责任留在人一侧。

06可直接写入内控制度的八条表述

下列八条按条款形式给出，用于资产管理内控制度或 AI 应用管理办法的编制，可逐条引用，无需改动措辞。

不得自主执行的动作范围。改账、报废核销、权限变更、调整折旧规则，以及性质同类的其他高危动作，不得由 AI 或任何自动化程序自主执行，须由具备相应权限的人员逐笔确认。
确认的作出时点。人工确认须在查阅系统返回的预演结果之后作出；预演结果与拟执行内容不一致时，该笔操作不得执行。
执行的唯一入口。全部写操作须经同一条执行管道，任何接入通道（含外部 AI 客户端）不得绕过参数校验、权限裁决、预演、确认与审计环节。
权限清单的边界。工具清单由服务端按账号权限生成，客户端拿到的即为服务端的授权结果；边界在清单生成时划定，不以调用时的拦截代替清单裁剪。
记录的必备内容。每笔写入须可回答操作主体（含代为操作的 Agent 及其授权来源）、时间、通道、动作名称、输入参数与执行结果。
重复提交的处理。同一次调用只生效一次，网络重试或程序重复提交不得产生第二次入账。
确认要求的性质。不得以上线进度或效率为由取消人工确认；确认要求写在动作定义中，不属于运行期可关闭的配置项。
输出的采信。识别与建议类输出是否采信，由有权限的人员作出；AI 输出不替代管理判断与责任认定。