《Claude Tag 的代理身份：团队 AI 如何安全访问工具》

导语

这篇 Claude Blog 文章解释 Claude Tag 为什么需要一种不同于个人助手的访问模型。单人使用 AI 时，模型通常借用个人账号权限；但在共享频道里，多个成员同时让 Claude 工作，权限不能再归属于某一个人。Anthropic 把这个新模型称为“代理身份”：Claude 以自己的服务账号行动，由管理员按工作空间和频道设置权限边界。

1. 为什么“代表用户行动”会失效

1.1 单人助手可以借个人权限，团队频道不行

• 在个人 AI 场景里，用户可以连接 Google Drive、GitHub、日历等账号，让模型用自己的访问权限读写内容。这种模式适合一人一助手，因为责任主体和权限来源都清楚。
• Claude Tag 属于多人场景：Claude 位于一个共享频道里，和多名成员一起工作，并需要使用属于整个工作空间的工具和上下文。当三名工程师和一名产品经理一起调试时，不能简单说 Claude 应该使用其中某个人的权限。

1.2 自主性提高，让个人凭证更不适合长期任务

• 文章指出，AI 代理可靠独立完成任务的时长大约每四个月翻倍。代理已经能安排稍后执行的任务，也能在人离线后继续响应事件。越是这种长时间、自动触发的工作，越不适合绑定到某个临时提问者的个人凭证。
• 因此，管理员需要能独立定义 Claude 在 Slack 等共享空间里可以做什么，并能单独追踪哪些动作是 Claude 自己完成的，而不是混入某个用户账号的行为记录里。

2. Claude 以自己的身份行动

在启用 Claude Tag 的频道里，Claude 不代表某个成员行动。它在每个系统中都有自己的账号：在 Slack 里作为 Claude 应用发言，在 GitHub 里作为 Claude GitHub App 开拉取请求，在数据仓库里使用管理员配置的服务账号查询。因为不使用个人凭证，共享频道不会变成进入某个成员私人文档的侧门。

3. 权限如何从工作空间继承到频道

3.1 管理员先定义基线，再按频道覆盖

• 在代理身份模型里，管理员先在工作空间层定义 Claude 的基线身份，包括连接、技能和默认能力；每个频道默认继承这个身份。随后，管理员可以按频道覆盖：例如让工程频道访问 GitHub 和数据仓库，或把客户关系管理连接限制在某个私密频道里。
• 除凭证之外，管理员还可以定义仓库读写范围、连接器和 API key、技能与插件、频道常驻指令。不同频道可以连接同一个服务但使用不同权限级别，例如普通频道只读数据仓库，数据团队私密频道拥有写权限。

3.2 撤销身份比追踪个人账号更易管理

• 因为 Claude 的权限围绕独立身份组织，撤销某个身份就能终止 Claude 在所有使用该身份位置的访问。文章认为，这比在几十个用户账号里逐条审计代理动作更容易管理。

4. 代理身份把问题改成“这个隔间里的代理能做什么”

代理身份不再问“这个用户能做什么”，而是问“这个代理在这个隔间里能做什么”。这意味着，一个没有直接仓库权限的频道成员，仍可能让 Claude 读取该仓库，只要频道配置授予 Claude 这个权限。文章承认这很不寻常，但认为这是多人、自主代理走向可用访问控制的必要一步。

5. 身份边界、默认访问和私聊的分工

5.1 私密频道有独立身份，公共频道共享工作空间身份

• Claude Tag 会为每个私密频道创建独立身份；工作空间里的公共频道共享工作空间级身份。法律频道的 Claude 身份不能访问未授予的代码，工程频道的 Claude 身份也不能读取未授权的法律文档。记忆和访问都遵守这些边界，私密频道学到的内容不会出现在更广泛的工作空间里。
• 身份属于频道，所以频道内成员默认都可以召唤 Claude。企业版还可以用基于角色的访问控制进一步规定哪些成员能调用 Claude，让频道同时决定代理能访问什么、谁能要求它行动。

5.2 宽基线访问能放大价值，但要通过审计逐步扩展

• Anthropic 在内部使用 Claude Tag 时发现，工具和上下文接入越多，价值越容易复合：Claude 可以把 Slack 线程、Drive 文档、任务系统和数据仓库查询组合成单个回答。文章建议先在少数频道设置基线配置，阅读审计轨迹，再按工作需要逐步增加授权。
• 私聊和共享频道分工不同。Claude Tag 的私聊使用用户自己的 claude.ai 账号、连接器、凭证和署名，因此更适合处理邮件草稿、个人软件许可等不应进入频道身份的任务。

6. 安全、审计和下一步

6.1 凭证在网络边界注入，未允许主机被阻断

• 管理员把连接加入频道配置后，凭证会独立存储并映射到该频道身份，在请求发生时于网络边界注入。任何未被管理员允许的主机，出站流量会被直接阻断。
• 审计方面，使用代理凭证完成的例行任务、记忆写入和网络调用都会被记录。由于 Claude 以自己的服务账号行动，这些操作也会出现在各连接系统自己的日志里。

6.2 未来会加入即时授权和身份感知叠加层

• Anthropic 计划加入即时凭证授权，让用户在敏感操作发生时批准单次行动，而不必永久扩大代理权限。它还计划提供身份感知叠加层，为更复杂的组织加入用户级检查：只有频道配置和请求者自身权限同时允许，Claude 才会行动。
• 文章最终把代理身份定义为多人 AI 产品的安全基础设施：它要让 Claude 的访问足够宽，能完成跨系统团队工作；同时又足够窄，能在企业规模上保持边界和审计。

思想框架

文章先区分个人助手和多人频道，说明“代表用户行动”在自主、长时间、多人协作任务中会产生权限归属问题。随后提出代理身份：Claude 使用自己的服务账号，由管理员在工作空间和频道层定义仓库、连接器、技能、常驻指令和权限边界。中段进一步解释这种模型如何重写访问控制问题，从“用户能做什么”变成“代理在这个频道隔间能做什么”。最后，文章用私密频道、公共频道、私聊、审计日志、网络边界和未来即时授权说明它的企业安全落点。