为什么我的代理调用的每个工具都能获得授权，而它们的调用序列却无法获得授权？

AI 代理执行工具调用，这些调用在孤立状态下均能通过常规权限检查。但一系列在会话层面上各自被允许的调用，组合起来可能形成一种未经任何人批准的能力：读取环境文件、在其中搜索凭证模式，然后将结果通过 POST 请求发送到外部端点。传统的授权机制仅在单次调用边界上运行，缺乏对调用序列可能产生何种效果的模型。 2026年2月的Cline事件具体印证了这一点：一个恶意的GitHub问题将多个单独有效的读写操作串联起来，通过软件包安装的方式影响了4,000台开发者机器。目前，基于意图的序列级授权尚不存在作为生产环境的基础组件。