【Managed Agent】Permission：把工具调用变成可控操作

这篇文章将讨论尚未完全落地的Permission模型：如何把模型提出的tool_call与应用、用户、资源和操作风险关联起来；何时自动放行，何时请求用户确认，如何记录授权，以及如何在Sandbox CLI和未来的胖Agent Hook中落实这些决策。

待展开的问题

• Permission应当在模型提出调用后、真正执行前的哪个边界生效；
• 应用级策略、用户确认和一次性授权如何组合；
• 文件、网络、浏览器与命令执行应如何划分风险等级；
• 授权结果如何进入事件流，并在重试、回退和恢复时保持一致；
• 凭证、短期Token和Secret注入如何与Permission策略配合。