AI代理可以继承本地管理员权限

相同的令牌，相同的权限

Windows 没有针对“AI process”的单独权限级别。代理程序，无论是浏览器扩展、桌面应用还是后台服务，都是作为启动它的进程的子进程启动，并继承该父进程的访问令牌。以标准用户身份登录，启动代理程序，它将以标准用户身份运行。以具有 local admin rights 的账户登录，代理程序也会以这些权限运行，以及它为完成工作而生成的所有内容：一次 PowerShell 调用、辅助二进制文件、本地运行时，它安装这些以便能在浏览器沙箱外运行。

进程令牌几十年来一直以这种方式工作。新颖之处在于代理继承令牌后所做的操作。传统的特权应用程序运行供应商批准的固定代码路径；而代理则不同。它们读取和写入本地文件，调用命令行，调用操作系统API与其他应用程序交互，并且在越来越多的情况下，首次运行时安装本地组件。所有这些操作都以账户已有的权限级别运行。

在具有本地管理员权限的账户上，该足迹会涉及到HKEY_LOCAL_MACHINE、Service Control Manager、以SYSTEM身份运行的计划任务、存放凭据的LSASS进程内存、驱动程序安装，以及保护Program Files和System32的ACL。达到这些位置不需要代理执行任何异常操作。账户本身已经打开了门。代理就像其他进程一样直接通过。

这与普通的 privileged 应用程序的风险概况不同

IT团队知道如何管理运行固定供应商编写代码路径的特权软件的风险。代理打破了这一模型，因为代码路径不是固定的。代理的下一步动作通常在运行时决定，基于提示、它正在总结的文档、它正在浏览的网页、它正在起草回复的电子邮件线程。如果该内容包含基础模型读取为指令的语言，并且代理具有对操作系统的工具使用访问权限，模型可以据此采取行动。

这就是提示注入：嵌入在看似普通内容中的文本，被当作命令而非数据处理。以标准用户令牌运行代理，注入指令的影响范围限制在标准用户已能执行的操作。以本地管理员身份运行时，指令继承管理员权限；写入受保护的注册表键，安装计划任务，使用缓存凭据访问网络，禁用杀毒代理。每一步现在都被提升了权限。

除了权限问题，还有一个可见性角度。市场部门采用写作助手，工程部门采用代码助手，销售部门安装会议摘要工具。每个工具都出现在不同的端点上，使用不同的账户，拥有自己的更新节奏和供应商安全态势，通常没有任何正式的IT审查。阅读代理的源代码也没多大帮助，因为注入指令能做什么完全取决于它运行的账户，而不是代理自身的代码。

移除本地管理员权限，也适用于AI

审查每个新的AI工具以评估安全态势，是IT无法赢过这些工具被快速采用的竞赛。从源头切断继承效果更佳：从账户中移除常驻本地管理员权限，这样该账户下运行的代理或其他任何东西都不会继承任何提升权限。

问题在于工作流程的摩擦。这些工具中的一些确实需要在安装期间写入一次受保护的位置。如果在这一步骤中撤销管理员权限却没有限定权限提升的路径，支持工单数量会增加，而不是风险降低。

PolicyPak Least Privilege Manager 处理这种划分：账户的默认权限保持为标准用户，特定任务则获得提升规则。定义允许哪个安装程序、小程序或操作以提升权限运行，针对哪些用户，以及持续多长时间。如果代理需要管理员权限进行一次性辅助安装，则将规则限定于该安装程序。该账户之后执行的所有操作（包括代理）均以标准用户身份运行。尝试写入 HKLM 或安装服务的注入指令会遇到与标准用户相同的限制。

Least Privilege Manager支持Windows和macOS。鉴于Mac设备上AI工具的广泛采用，值得注意的是，仅限Windows的策略将完全忽略这一点。