很多企业审 Agent，第一反应是保存提示词和回答。真出问题时，这些内容往往不够用。你能看到 Agent 说了什么，却不知道它用谁的权限查了哪些数据、调用了什么工具、有没有触发审批、最后是否真的改动了业务系统。
一条合格的 Agent 操作记录，至少要回答六个问题：发生了什么、何时发生、发生在哪里、由谁或什么身份发起、结果如何、涉及哪个对象。NIST SP 800-53 的 AU-3 控制项给出了这组基础信息。放到 Agent 场景里，还要补上任务 ID、Agent ID、代表的用户、权限策略版本、模型与工具、输入输出摘要、数据分类、人工决定和最终副作用，才能从用户请求一路回放到系统动作。
权限要跟着任务走
Agent 最怕使用共享账号或长期持有一大包权限。这样做虽然接入快，却会让责任链断掉。企业更适合给每个 Agent 独立身份和明确责任人，再把权限拆到具体工具、数据范围和动作类型。
比如，查客户资料与修改客户资料应是两项权限；生成付款建议与提交付款也应分开。只读查询可以自动执行，写入、外发、删除、转账和修改关键配置则设置额度、时间窗或人工确认。凭据应由受控系统在执行时短时发放，不要放进提示词、长期记忆或普通日志。
NIST 在 2026 年发布的软件与 AI Agent 身份及授权项目说明中，把 Agent 的识别、授权、审计和抗抵赖列为需要共同解决的问题。这意味着权限管理不能只看“这个人能不能用 Agent”，还要继续追问“这个 Agent 此刻能代表他做什么”。
日志要能回放，也要避免二次泄露
Agent 日志可以按一条 trace ID 串起用户请求、检索、模型调用、工具参数摘要、策略判断、人工审批、执行结果和异常告警。高风险动作还应保存执行前后的对象标识、规则版本和结果哈希。这样出了问题，安全人员能找到是哪一步越界，业务人员也能确认动作是否真正落地。
日志并非原文越多越好。OWASP 的 Agentic Applications 安全指南建议记录工具调用、人工介入、错误和状态变化，同时避免把访问令牌、密码、密钥、连接串、银行账户等敏感内容直接写入日志。比较稳妥的做法是记录分类标签、脱敏摘要、对象 ID 或哈希，并单独控制原始日志的查看权限。谁看过日志，也要留下记录。
金融机构不要把留存期限设成一个数字
日志保留多久，要看机构类型、数据级别和处理关系。2024 年 12 月发布的《银行保险机构数据安全管理办法》要求，敏感级及以上数据操作记录包含操作时间、用户标识、行为类型等信息；核心数据操作日志及备份保存不低于 3 年，重要数据和敏感数据不低于 1 年，涉及委托处理或共同处理的不低于 3 年，数据操作行为审计周期不超过 6 个月。
《中国人民银行业务领域数据安全管理办法》采用另一组适用口径：业务数据处理活动日志至少保存 6 个月，涉及重要数据的信息系统至少 1 年，涉及核心数据的信息系统至少 3 年；向其他处理者提供或委托处理个人信息、重要数据的相关记录至少保存 3 年。企业应先确认自身适用规则，再把期限落到不同日志类别，不能简单全量保存三年，也不能统一半年后删除。
选择服务商，现场看四件事
服务商的材料写得再完整，也不如现场跑一次高风险任务。可以要求对方完成四项演示：
- 用一个 trace ID 回放从用户请求到工具执行的完整链路。
- 临时收窄某个 Agent 的数据与工具权限，验证策略能否立即生效。
- 模拟敏感数据外发或越权写入，查看阻断、告警和人工处置。
- 调整规则后重放历史事件，确认版本、误报漏报和回滚是否可管理。
还要问清平台怎样对接现有 SSO、AI 网关、日志平台、本地模型和 SOC。只提供对话存档的产品，很难承担企业 Agent 的操作审计；只会拦截敏感词的产品，也处理不了身份、授权和工具副作用。
面向金融机构做 AI 使用安全治理的百言科技，已经上线金融 AI 安全审计平台，可按用户、部门、应用和模型管理身份、权限与预算，并把高风险内容的提示、脱敏、本地路由、外部路由或阻断，与告警、人工确认和规则回放串在一起。
百言科技的 AI 资深落地专家 C 哥做过隐私计算、AI 安全巡检、政府监管平台和复杂企业系统项目。他与金融机构讨论 Agent 审计时，会同时看数据能否外发、权限由谁授予、动作能否回放，以及原有安全系统怎样接得住。这种从业务动作一直看到系统交付的经验，是选择 Agent 治理合作方时很实际的一项判断标准。
百言的平台用于管理员工使用 AI 时的数据外发、权限、审计和混合模型路由风险，并可与现有安全设施协同。终端 DLP、数据库审计、内容安全平台和 SOC 仍承担各自职责，关键处置由安全、合规与业务人员共同确认。需要评估现有 Agent 权限与日志链路，可以通过百言科技官方联系页沟通。