AI Agent 身份、权限与审计轨迹：手机智能体真正需要的安全栈

先确认谁在替你操作手机

想象一个手机 AI Agent 收到指令：“帮我把这条通知里的会议改到明天，并告诉同事。”这不是普通问答。它可能需要读取通知、打开日历、识别联系人、草拟消息，甚至准备修改一个共享日程。在这类场景里，第一个安全问题不是模型聪不聪明，而是谁在执行动作。是用户本人、手机系统、某个 App，还是一个被授权的智能体？如果身份不清，后面的 AI Agent 权限、确认和追责都会变得含糊。

研究中常把这类非人类操作者视为需要治理的主体。多智能体授权研究把身份治理视为基础设施问题，因为智能体可能代表用户、服务或组织去访问数据和工具。对手机来说，这个问题更贴近日常：用户需要知道“这个动作是我点的，还是 Agent 代我做的”。如果两者混在一起，错误发送、误改设置、误删内容之后就很难判断责任和恢复路径。

我们在 FoneClaw 的产品边界里把这件事看得很具体。FoneClaw 不是企业 IAM 或合规审计平台，也不声称解决所有身份治理问题。我们关注的是现有 Android 手机上受支持的动作：当 FoneClaw 代用户准备某个操作时，用户应能看见任务意图、目标对象和下一步结果。手机智能体的身份设计，不应只藏在后台协议里，而要变成用户能理解的界面信号。

这也是 AI Agent 身份和传统 App 权限的差别。普通 App 通常以自己的身份请求权限；手机 Agent 则可能代表用户跨多个页面做连续动作。它既不能完全等同于用户本人，也不能像后台服务一样悄悄运行。更合理的做法，是让它拥有明确、受限、可停止的代办身份：能做什么、为了哪个任务做、做到哪一步需要用户接手，都应该被清楚表达。

权限要按任务、时间和场景收紧

AI Agent 权限最危险的设计，是把复杂任务简化成一个长期有效的“允许全部”。手机上的权限不该只分成允许和拒绝，还要考虑任务范围、有效时间、当前场景和动作风险。比如整理通知和发送消息都可能涉及通知内容，但前者可以停在摘要，后者会把内容发给别人；打开导航和修改账户资料都可能涉及 App 操作，但后果完全不同。

多智能体授权研究提到非人类主体、委托、范围和时间有效性等问题，这给手机智能体很直接的启发：授权应该短、窄、可撤销。一个 Agent 可以被允许在本次任务中读取某条通知，但不应因此长期拥有所有通知访问权；可以被允许生成回复草稿，但不应默认获得直接发送权限；可以打开某个设置页面，但不应自动修改高风险选项。

在 FoneClaw 里，我们更倾向于把权限和具体动作绑在一起讲清楚。用户说“帮我回复这条消息”时，系统应该区分读取内容、生成草稿、显示预览、确认发送这几个步骤，而不是把它们打包成一个不可见授权。想进一步理解家庭、未成年人或共享设备中为什么要看权限记录，可以参考 AI Agent 权限日志，重点就在于把授权和真实动作分开记录。

权限还要看场景。深夜自动回复、会议中静音通知、开车前打开导航，这些都是可以提高效率的动作；但公开发布、转账付款、删除聊天记录、修改安全设置，就需要更强确认。我们不会把“少点几下”解释成“替用户决定一切”。手机智能体越接近真实操作，权限越应收紧，而不是放宽。

审计记录让手机动作可追溯

如果手机 Agent 做完任务后只说“已完成”，用户其实仍然不知道发生了什么。它读了哪条通知？打开了哪个 App？修改了哪个字段？有没有发送出去？是否失败后重试？这些信息决定了用户能不能信任它，也决定了出错之后能不能恢复。可追溯记录不是给安全团队看的奢侈功能，而是手机智能体进入日常生活后的基本安全感。

可审计智能体相关研究强调，负责任的智能体系统需要可审计性。放到手机上，AI Agent 审计轨迹不一定要复杂到企业日志系统的程度，但至少要覆盖用户关心的事实：谁发起了任务，Agent 准备做什么，调用了哪些受支持动作，哪些步骤需要确认，最后结果是什么。对于敏感任务，还应记录用户何时确认、何时取消、何时手动接管。

审计记录的价值在纠纷和误操作时最明显。比如用户发现一条消息发错人，需要知道是语音识别错了联系人、Agent 选择错了会话，还是用户在确认页没有看清楚。没有记录，所有问题都会变成模糊的“系统可能出错”。有记录，至少可以回到过程本身，找到可修正的环节。

我们在 FoneClaw 的思路是让关键动作留下用户能看懂的线索，而不是只在后台堆技术日志。用户不需要看一串不可读事件码，但应该知道任务名称、目标对象、当前状态和结果。审计不是为了吓人，而是为了让自动化不再像黑箱。

只靠安全提示不能解决授权问题

很多 AI 产品会把安全写成提示词、免责声明或拒答规则。它们有价值，但不能替代授权。一个模型被提示“不要做危险事”，并不等于它无法调用高风险工具；一个 Agent 被要求“谨慎处理隐私”，也不等于它没有读取敏感页面的权限。真正的 AI Agent 访问控制，必须在工具、权限、动作和用户确认层面同时工作。

安全智能体网络相关研究把身份、授权、来源证明和可追踪性列为开放挑战，这说明问题并不只是“模型会不会守规矩”。手机 Agent 面临的更具体：能不能打开相册，能不能读取通知，能不能把草稿发出去，能不能修改系统设置，能不能跨 App 传递信息。每一个“能不能”都应该由权限和上下文决定，而不是只交给模型自我约束。

这也是为什么我们讨论 手机 Agent 权限边界 时，会强调高权限动作必须有清楚限制。不是所有风险都来自恶意攻击，也可能来自错误理解、界面变化、目标歧义或用户无意授权。提示词可以降低一部分错误，但不能替代系统级限制、任务级确认和可撤销设计。

FoneClaw 不会把“我们有安全提示”当成完整答案。我们更关心动作是否属于支持范围、是否需要用户预览、是否可以停下、是否有结果反馈。对手机智能体来说，安全不是一句承诺，而是一组用户能感知的控制点。

动作前、中、后用户应该看见什么

一个可靠的手机智能体，应该让用户在动作前、中、后看到不同信息。动作前，用户要知道 Agent 准备做什么：目标 App 是哪个，目标联系人或文件是谁，可能访问哪些数据，是否会产生外部影响。动作中，用户要知道进度和当前卡点：是在读取通知、生成草稿、等待权限，还是需要选择同名联系人。动作后，用户要看到结果：已保存、已生成草稿、已取消、已发送，还是失败。

这种可见性比单纯弹一个“是否允许”更细。比如“允许访问通知”太宽泛，而“为整理本次会议相关提醒，读取最近三条日历通知”更接近用户能判断的授权。再比如“允许发送消息”风险很高，而“显示给王琳的回复草稿，用户确认后发送”就把动作拆成了更安全的步骤。手机智能体权限设计应尽量把技术授权翻译成用户能判断的动作语义。

在中途阶段，停止权非常关键。用户可能发现联系人选错、文字语气不合适、当前场景不适合发送，或者只是临时改变主意。Agent 应该支持取消、返回、修改、重新选择，而不是一旦启动就持续执行。审计记录也要能反映这些中途变化，因为取消和修改同样是重要用户意图。

动作完成后，记录要有恢复价值。用户不需要每天阅读完整日志，但当问题发生时，应该能找到“刚才 Agent 做了什么”。这对个人用户、家庭设备和企业手机都重要。更深入的企业场景，可以参考 企业 AI Agent 安全，但普通手机同样需要最基本的可见控制。

FoneClaw 如何落到受支持的 Android 操作

把这些原则放到 FoneClaw，我们的定位很明确：FoneClaw 是面向现有 Android 手机的 AI Agent，处理受支持的手机动作，并把关键步骤做成用户可见、可确认的流程。我们不把自己描述成完整的身份治理平台，也不声称能替企业完成所有合规审计。我们的重点是手机任务本身：用户发出请求后，哪些动作能做，哪些动作需要权限，哪些结果必须让用户确认。

比如用户让 FoneClaw 帮忙处理通知，我们可以围绕已支持能力整理信息、准备下一步、显示摘要或草稿；但如果任务涉及发出消息、修改设置、提交表单等高风险动作，就应该进入确认环节。我们不会把“能准备”说成“能无条件完成”，也不会把“能打开页面”说成“能控制所有第三方 App”。

在权限上，我们更愿意把授权说成人话。用户不关心抽象权限名本身，而关心为什么要用、用到哪一步、能不能撤回。FoneClaw 的安全姿态就是把任务边界讲清楚：支持的 Android 操作尽量顺畅，敏感步骤保留确认，无法稳定判断的场景停下来说明。它不是完美防线，但比隐藏式自动化更适合真实手机使用。

这条路线也提醒我们保持克制。AI Agent 身份、权限和审计轨迹是一个很大的安全主题，FoneClaw 只解决其中和手机执行直接相关的一部分。我们可以让用户更清楚地控制手机任务，但不会宣称解决所有非人类主体授权、跨组织审计或法规合规问题。

更安全的手机智能体检查清单

选择或设计手机智能体时，可以先问第一个问题：它有没有清楚身份？用户是否能看出当前动作是自己手动触发，还是由 Agent 代为执行？如果身份不清，后续权限和审计都会失去基础。第二个问题：权限是否足够窄？读取一条通知、生成一段草稿、发送一条消息，应该是不同级别的动作，不应被一个总授权覆盖。

第三，权限是否有时间限制和撤回入口？一次任务需要的能力，不应默认长期有效。第四，敏感动作是否分级确认？发送、删除、付款、公开发布、账号修改、系统安全设置，都应该比普通滚动或打开页面更谨慎。第五，失败时是否停止并解释？一个安全的 Agent 不应在不确定页面上反复尝试。

第六，是否有用户可读的 AI Agent 审计轨迹？记录至少应该说明任务、目标、关键步骤、确认状态和结果。第七，是否区分提示词安全和真实授权？如果一个产品只强调“模型会遵守规则”，却没有清楚权限边界，就需要谨慎。关于技能和权限组合带来的风险，也可以继续看 AI Agent 技能安全。

最后，把这份清单反过来也适用于 FoneClaw。我们希望用户用同样标准审视我们：FoneClaw 支持哪些动作，哪些权限是必要的，哪些步骤会显示给用户，哪些地方仍然需要手动判断。手机智能体真正需要的安全栈，不是一个漂亮的安全口号，而是身份清楚、权限收紧、动作可见、记录可查、随时可停。