让企业 AI 真正落地，
并让数据始终可控

企业知识库的权限不能靠在检索结果上加一道过滤解决。正确做法是让分类分级标签和原始访问权限，从原始文件一路继承到页面、切片、向量索引、模型上下文和最终回答，目标是让越权内容在候选阶段就被排除，不进入模型上下文。分类分级回答「这是什么数据、多敏感」，权限回答「这个人能不能看这个对象」，两者必须同时成立。

• 分类分级不能单独替代权限——L2 级别的文档也可能只属于某个项目组。
• 优先在检索阶段就按权限约束候选范围；召回后的过滤可以作为复核，但无论过滤发生在哪一步，都要保证未授权内容不进入模型上下文、外部服务和用户可见结果。
• 标签继承链断在任何一环（页面、切片、向量、回答），后面的权限判断都失去依据。

Agent 的安全问题和知识库不是一回事。知识库管的是「AI 能读什么」，Agent 管的是「AI 能做什么」——调用哪些工具、访问哪些 API、执行哪些业务动作、记住哪些内容。核心风险来自三处：Agent 使用超越用户权限的服务账号、工具调用缺少参数级授权、以及记忆在不同用户与会话之间串流。三者都必须在执行之前判定，事后审计无法替代。

• 读取权限与执行权限必须分别判断——用户能看到数据，不代表 Agent 可以把它发到任意地方。
• Agent 用服务账号跑，是最常见也最危险的默认设计：权限过大、长期有效、审计追不到真实委托人。
• 工具授权要到参数级和目标资源级，仅授权「能不能调这个工具」远远不够。

非结构化数据分类分级的难点不是打标签，而是判断「这份数据服务于什么业务、对应哪条法规、在什么组合下会升级为高敏感」。做法是先理解内容（抽取用途、主体、对象、环节等要素），再结合业务目录、行业规则和真实填写状态逐级判断，最后把标签转化为 DLP、知识库、外发与 Agent 的可执行策略。准确率必须结合测试方法看——测试集来源、是否含历史遗留命名、未识别项是否计入分母，都会显著改变结果。

• 打标签是结果，不是方法——难在业务语义判断，不在标签本身。
• 判定稳定性应该排在准确率之前：两轮一致率不到 95% 时，准确率数字落在噪声里。
• 类目粒度可以量化诊断：每个叶子承载多少字段、跨多少来源系统。