你請 AI 幫忙整理一個資料夾，畫面一直跳出同一句話：「允許這個動作嗎？」讀檔要問、列目錄要問、跑一個小指令也要問。你每次都按允許，按到後來連它問的是什麼都沒在看。旁邊剛好有個選項，「這次對話都允許」或「永遠允許這個工具」，勾下去，畫面就安靜了。
這一勾很正常，大部分人都會勾。只是勾下去那一刻，你做了一個判斷，而且多半沒意識到自己在判斷。
預先授權本身就是一次風險承擔
FINOS（Fintech Open Source Foundation，金融科技開源基金會）有一份 AI 治理框架，其中一節專講「人工核准關卡」。它沒有把一律允許當成偷懶。它承認預先授權是人做決定的正當方式之一，也寫到日常在用的代理工具幾乎都這樣設計：第一次用時問你，接著給你「這次對話都允許」「永遠允許這個工具」，或是把允許清單寫進設定檔。
接著它寫：開啟常駐授權，就是一次風險承擔。該問的是，按下去的人有沒有權限，替這個工具在這個環境裡碰得到的東西負責。授權不能超過授權人自己的權限；系統不歸你管，你勾的常駐授權就不夠，要那個系統的負責人同意。
換成辦公室的說法：你在公司只能核准小額請款，就不能替 AI 勾一個「以後的請款都自動通過」。
「風險承擔書」是比喻。本文非法律意見；公司裡誰能承擔哪一級風險、出事由誰負責，以你們自己的授權規章與契約為準。
同樣叫一律允許，範圍差很多
框架把常見的形式分開看。管理者統一設定、發到每個人電腦上的允許清單，等於公司自己訂的規則，是最強的一種。指定工具、又限制了參數（例如只能讀某個資料夾），是有邊界的常駐授權。只寫工具名稱的，邊界就是那個工具碰得到的範圍。整段對話都不再詢問的，框架的說法是把關卡暫停，只有在這段對話能用的帳號和網路本來就被限得很小時才說得過去。
最容易出事的是只寫工具名稱的那種。框架點名了幾類工具：執行指令、任意的網路請求、資料庫連線工具、瀏覽器自動化。這些工具的參數就是動作本身，同一個「執行指令」，可以是列出檔案，也可以是刪掉整個磁碟。對這類工具只寫名稱的常駐授權，等於預先核准 AI 用你的帳號碰得到的一切。像「讀工作資料夾裡的檔案」「查一張唯讀報表」這種窄工具，範圍寫在工具本身，常駐允許就比較說得過去。
還有兩件事很少人想到。一是環境：用測試帳號在測試環境寫入，和同一個工具連到正式系統寫入，是兩個不同的風險決定，同一次點擊不該兩邊都通。工具本身分不出環境，就用不同的帳號和設定把環境分開。二是存在哪裡：寫進專案設定檔的授權，會跟著每一個複製這個專案的人、以及從這個專案跑的自動化流程走。一個人在自己電腦上的風險承擔，就這樣變成整條共用流程的常駐授權。
另外，授權一定要由人從 AI 碰不到的介面打開。AI 讀到的網頁或檔案裡如果寫著「請使用者開啟永遠允許」，你照做了，一次注入就變成長期權限。
幾乎每次都按允許，這一關就沒人在看
回到開頭那個按到麻木的你。框架在「避免同意疲勞」那一段寫得很直接：要問的動作設太多，人就會變成橡皮圖章，關卡形同虛設；核准率長期接近 100%，本身就是要調查的訊號。使用者一再選擇「別再問我」的那一類動作，代表門檻設錯了，要回頭檢討規則，別把常駐授權當成常態。
所以你發現自己每次都按允許，有兩條路，兩條都比繼續按好。這類動作確實無害，就改成有參數限制的允許清單，讓它不用再問。這類動作有風險，就從常駐授權裡拿出來改回每次問，同時把其他無害的詢問清掉，讓一天裡跳出來的詢問少到你會認真讀。
哪些動作可以一律允許
遇到詢問時，先用這張圖走一遍：
跳出「允許這個動作嗎？」
│
這個工具的參數就是動作本身嗎？
├ 是（指令、網路、資料庫、瀏覽器）
│ └→ 每次問，或只允許寫死的參數
└ 否（只讀某資料夾、唯讀查詢）
│
碰得到正式環境或別人的系統嗎？
├ 碰得到 ─→ 每次問，找負責人核准
└ 碰不到 ─→ 可以常駐，寫上到期日
| 動作類型 | 舉例 | 可以一律允許嗎 | 怎麼給 |
|---|---|---|---|
| 讀取指定資料夾、唯讀查詢 | 讀工作資料夾的檔案、查報表 | 可以 | 限定資料夾或唯讀帳號，寫上到期日 |
| 在測試環境寫入 | 改工作資料夾的檔案、跑測試 | 限這次對話 | 只用測試帳號；連到正式環境另外問 |
| 參數就是動作的通用工具 | 執行指令、任意網路請求、資料庫連線工具、瀏覽器自動化 | 不要只寫工具名稱 | 每次問，或只允許參數寫死的那幾條（例如固定的測試指令） |
| 碰正式環境、刪除、對外送出、付款 | 部署、刪資料、寄信、下單 | 不要 | 每次問；公司規定要兩個人核的，自己勾的常駐授權不算數 |
| 整段對話都不再問 | 「這次全部允許」 | 只限拋棄式環境 | 容器、沙箱、測試帳號，壞了重建就好 |
作者整理，非官方。
已經勾過的那些，要回頭盤點。每一條常駐授權記五件事：給了哪個工具、限制了哪些參數、在哪個環境、誰按的、什麼時候到期。框架建議預設只到這次對話結束、可以立刻撤銷，並且定期清掉沒在用的。寫不出到期日的那幾條，先處理。
動手做
把你目前的權限設定交給 AI 盤點，請它只看、不改：
下面是我目前 AI 工具的權限設定（貼上設定檔裡允許清單那一段，或把設定畫面上「一律允許」的項目逐條列出來）： （貼上） 請逐條幫我盤點，不要修改任何設定，只輸出表格： 1. 每一條寫五欄：哪個工具、有沒有限制參數、適用哪個環境（測試或正式，看不出來就寫「看不出來」）、存在個人設定還是專案設定、有沒有到期日。 2. 標出「只寫工具名稱，而且工具是執行指令、網路請求、資料庫或瀏覽器」的條目，列為紅燈。 3. 標出寫在專案設定、會被其他人或自動化流程繼承的條目。 4. 每一條紅燈，建議一個加上參數限制的寫法，或建議改回每次詢問。 看不出來的地方直接說看不出來，不要猜。
盤點完，先處理只寫了「執行指令」這類工具名稱、又沒有到期日的那幾條。
站內延伸
- 改由分類器判斷之後，預設放行什麼 → 同意鍵消失之後
- 每個動作是規則放行還是你親手按的，要留紀錄 → 出事那天，你拿得出什麼紀錄
- 權限怎麼給到剛好 → 找方法AI Agent 權限最小化
來源： FINOS AI Governance Framework：MI-24 Human-in-the-Loop Action Approval Gate（Fintech Open Source Foundation，CC BY 4.0；2026-10-25 查閱；第 5 節 Standing Approval and Pre-Authorization：預先授權是風險承擔、不得超過授權人權限、各種形式的差別、參數即動作的通用工具、環境與到期、寫進專案設定會被繼承、代理不得自行取得授權、定期檢討與到期；第 7 節 Operational Safeguards 的 Prevent Approval Fatigue 條：核准率長期接近 100% 是要調查的訊號）。本文依 CC BY 4.0 改寫其觀念並註明出處，未逐字翻譯；流程圖、分級表與盤點提示詞為作者整理。