原来是什么样
业务部门想用 AI Agent 承接客户咨询与资料初审，但合规部门有明确红线：Agent 不能拿着开发者的个人凭据访问生产数据，每一次数据访问都要能追溯到「哪个用户授权了哪个 Agent」。此前试点方案里 Agent 共用一套服务账号，出了事无法定责。
我们交付了什么
以 UIAM 的 Agent IAM 为底座：Agent 注册为 MACHINE 主体，拥有独立凭据与角色；代表用户行动时走 RFC 8693 Token Exchange，权限取「应用权限 ∩ 用户权限」的交集；工具调用逐次校验授权与配额。Uniclaw 作为 Agent 运行时，接入企业微信与内部系统。
- Agent 是 MACHINE 主体，不再伪装成人类用户，令牌里带 principal_type=machine
- 委托链用 act claim 表达「谁代表谁」，多跳场景可嵌套，完整可回放
- 工具级授权写进代码注解，不写在文档里靠人记
- 合规部门可随时按 Agent 维度拉出完整调用记录，包括用了哪些权限
合规评审能一次过，关键不是我们讲得多好，是审计记录里每一项都查得到。
—— 项目合规负责人
More Stories
Get in touch
把身份、Agent 与私域的复杂度，交给一套可治理的内核
无论你是要替换现有的 IAM、搭建 Agent 中台，还是想把企微私域真正运营起来——先从一次 30 分钟的架构沟通开始。我们会先判断问题是不是我们擅长解的那类，不合适会直接说。