Agent-Identity

上周一个朋友跟我说，他们公司「上线了数字员工」。

我问：干了什么？

他说：在 HR 群加了个机器人，员工可以问请假政策、查工资条、提交报销。

我问：那和三年前上线的 FAQ 机器人有什么区别？

他愣了几秒：「……好像就多了个大模型，回答更像人话了。」

这不是段子。2026 年，钉钉、飞书、企业微信上跑着成千上万个「数字员工」，大多数落地形态惊人地相似： 一个大模型，挂在一个群里，回答预设范围内的问题。 换了个「数字员工」的名字，骨子里还是个聊天机器人。

真正的数字员工应该是什么样子？Anthropic 的 Claude Tag 给出了一个方向——Agent 以组织成员身份加入 Slack，有自己的记忆、权限和行为日志。我在 Claude Tag 的 Agent Identity：为什么这是 Agent 时代的 OAuth 中详细分析过这个「身份层」的设计。

但身份只是第一步。把 Agent 的名字写进通讯录，工程量大概只占 10%。剩下的 90% 是什么？

周一早上，运营群里有人 @了运营 Agent：「帮我看看上周退款率为什么涨了」。

Agent 开始干活。它先查了 AI 表格里的退款明细，又调了客服工单系统的投诉分类，接着跑了一段 SQL 算出各渠道的退款占比，最后生成一份带趋势图的分析报告发到群里。整个过程 40 分钟，中间还主动追问了一句：「要不要把退款金额 > 500 的单独拉出来？」

报告质量不错。但安全团队事后审计时发现了三个问题：

1. Agent 查退款明细时，用的是 @它那个人的 App Token——这个人恰好是运营总监，有全量数据权限。群里其他人没有这个权限，但他们都看到了报告。
2. Agent 调工单系统时，用的是一个 写死在环境变量里的 API Key，这个 Key 的权限范围是 read:all，理论上 Agent 可以读任何人的工单。
3. 日志里只记了「运营总监访问了退款表」， 没有记录是 Agent 在执行。

这是一个典型场景，我在不同企业里见过不同程度的版本。

在 Claude Tag 的 Agent Identity：为什么这是 Agent 时代的 OAuth 中，我讨论了 Agent 为什么需要自己的身份。这篇接着往下走： 当 Agent 进入钉钉群，权限、凭证、审计这套架构具体怎么设计？

上周，一个同事在工作群里 @了一个 AI Agent，让它分析最近 30 天的客户退款数据。Agent 查了 CRM、翻了工单、跑了 SQL，两小时后在群里贴出一份报告。

事后审计时，安全团队问了一个问题：

「这个操作，日志里记的是谁？」

答案是：那个 @Agent 的人。

但实际上，读数据的是 Agent，推理的是 Agent，写报告的是 Agent。人只是说了一句「帮我看看」。

这就是今天几乎所有企业 AI 产品的现状——Agent 没有身份。它在借用人的身份做事。

2026 年 6 月 23 日，Anthropic 发布了 Claude Tag——一个运行在 Slack 里的 AI Teammate。表面上看，它是又一个 Slack 集成。但如果你仔细看它的架构设计，会发现一件有意思的事：Anthropic 正在尝试解决一个行业里很少有人正面回答的问题——

Agent 到底是谁？