【Agent 身份与安全】人机协同授权：Human-in-the-Loop

OAuth scope 与 Function Calling 策略 可以自动拒绝明显越权调用，但业务高风险操作——转账、删除生产数据、外发邮件给未知收件人——需要人确认。Human-in-the-Loop（HITL）是 Agent 授权模型的最后一层：策略引擎 say「技术上允许」，HITL say「业务上需人工点头」。

一、何时必须 HITL

与 自适应认证 交叉：风险分数高 → step-up MFA → 再执行 tool。

二、同步确认 vs 异步审批

2.1 同步确认（Blocking）

sequenceDiagram
  participant User
  participant Host as Agent Host
  participant LLM

  LLM->>Host: tool_call transfer amount=50000
  Host->>User: Modal: 确认转账?
  User->>Host: Approve + WebAuthn
  Host->>Host: 执行 transfer
  Host->>LLM: success

适用：单笔操作、用户正在对话中。

2.2 异步审批队列

sequenceDiagram
  participant Agent
  participant Queue as Approval Queue
  participant Approver
  participant API

  Agent->>Queue: 提交 pending_action id=pa-123
  Agent->>Agent: 状态=SUSPENDED
  Approver->>Queue: Approve pa-123
  Queue->>API: 执行
  Queue->>Agent: 唤醒 + 结果

适用：企业工作流、非交互式 Agent。

三、Agent 状态机

stateDiagram-v2
  [*] --> Running
  Running --> PendingApproval: 高风险 tool
  PendingApproval --> Running: approved
  PendingApproval --> Cancelled: rejected / timeout
  Running --> Completed: 任务结束
  Cancelled --> [*]
  Completed --> [*]

坑：Pending 期间 Agent 若继续调其他写 API——竞态越权。Host 应 全局写锁 直到审批完成。

四、Step-up 与委托 Token

HITL 批准不应只改 UI 状态——应产生 短期 elevation proof：

1. 用户 WebAuthn step-up
2. IdP 发 elevation_token TTL=5min scope=transfer:approve
3. Agent Gateway 持 elevation_token 执行 transfer
4. 执行完毕 elevation_token 作废

与 Token Exchange 结合：actor_token 不变，Exchange 时附加 authorization_details 或自定义 claim 表示 step-up 已完成——具体 claim 以 IdP 能力为准，不编造 payload。

五、超时与默认动作

Agent 应告知用户：「等待审批，7200s 后自动取消」。

六、与 PAM JIT 的对照

PAM / JIT 管特权人；HITL 管 Agent 代用户 的高危操作。可共用审批 UI 和审计管道——字段增加 agent_id, delegator_id。

七、实现清单

• 高风险 tool 清单（版本化）
• 同步 / 异步模式 per tool
• Step-up 绑定 elevation proof
• Pending 状态写锁
• 审批 audit：who, when, action_id, decision
• 超时 worker
• 幂等 execution（approval_id 只执行一次）

八、边界

• 不规定具体 UI 框架
• 法务「电子签名」效力不讨论

九、双人审批 SOX

大额 transfer 顺序双 approver——Queue 状态机扩展。

十、Pending 全局写锁

PendingApproval 期间禁止其他写 tool——防竞态。

十一、Idempotency-Key

approval_id 作幂等键——防 double execution。

上一篇：Function Calling 授权

下一篇：MCP 架构

参考资料

1. 自适应认证
2. PAM 与审计
3. NIST SP 800-63B, Authentication and Lifecycle Management（step-up 参考）