2026年，讨论AI智能体接管电脑，关键不只是它能完成多少操作，更是哪些操作不该由它自行决定。能够点击按钮，不代表有权代表用户作出承诺；技术能力与用户授权，应当始终分开。
一、授权给任务，而非整台电脑
权限设计应从“允许控制电脑”改为“允许完成这项任务”，明确可访问的应用、文件夹、网站与有效期限。例如，整理报销材料可以读取指定票据，却不应顺带获得整个网盘的访问权。OpenAI的电脑使用文档建议限制运行环境及站点、操作范围，这可以作为最小权限设计的起点。([developers.openai.com](https://developers.openai.com/api/docs/guides/tools-computer-use?utm_source=openai))
二、把查看、修改与提交拆开
查看资料、生成草稿、修改文件和对外提交，应对应不同级别的权限，不能因为用户允许浏览，就默认允许发送。涉及付款、公开发布、删除原件或变更安全设置时，宜在执行前展示对象、内容及后果，再由用户确认。确认也不能只是一个“继续”按钮，而应让用户看清具体动作，避免把授权变成习惯性点击。([openai.com](https://openai.com/safety/prompt-injections/?utm_source=openai))
三、屏幕上的文字不是上级命令
网页、邮件和文档中可能夹带诱导智能体偏离任务的指令，这类提示注入意味着“读到的内容”不能自动升级为“必须执行的命令”。即使页面声称需要上传文件才能继续，也不能据此扩大原有授权。开发者应把外部内容视为待处理的数据，并通过隔离环境、访问限制和必要的人工确认降低风险，而不是只依赖模型识别恶意文字。([platform.claude.com](https://platform.claude.com/docs/en/agents-and-tools/tool-use/computer-use-tool?trk=article-ssr-frontend-pulse_little-text-block&utm_source=openai))
四、限制数据流向，而不只限制入口
权限面板除了说明智能体能打开什么，还应说明哪些数据可以发送、发给谁、用于什么目的。敏感信息一旦被输入外部表单，就可能构成数据传输，不能等到点击提交才考虑授权。更合理的设计是分别管理读取、处理与外发权限，并让用户在必要时接管登录和敏感输入，避免为一次任务暴露无关资料。([developers.openai.com](https://developers.openai.com/api/docs/guides/tools-computer-use?utm_source=openai))
五、能暂停，也要能核查
可靠的授权应当随时可撤销，同时设置执行时长、步骤或资源上限，防止任务持续扩张。系统还应核查实际结果，而不是仅凭智能体报告“已完成”；对于可恢复的修改，可以配合版本记录或备份。需要说明的是，停止任务不等于撤回已发送的信息，因此取消、恢复与风险提示必须分别设计。([developers.openai.com](https://developers.openai.com/api/docs/guides/tools-computer-use?utm_source=openai))
权限边界的目标，不是让用户盯着每一次点击，而是让低风险步骤顺畅执行，让高风险决定保持可见、可控。AI可以接手操作，但不应借一次模糊授权，接走用户对数据、资产和身份的决定权。
