官网友情链接 wechatapi.net

个人微信二次开发进入AI Agent以后，越来越多业务希望模型不只是回答问题，还能真正做事。

查客户套餐。

创建工单。

修改标签。

发送文件。

安排任务。

这些能力能够明显提高自动化，但同时也意味着：

AI开始拥有业务权限。

如果所有工具都用一个“超级管理员服务账号”执行，任何一次模型误判都可能扩大影响。

所以个人微信API系统需要为AI工具设计“最小权限”。

WechatApi 可以作为个人微信API接入层，负责客户消息和最终微信动作。本地工具网关则根据当前会话、客户、任务和机器人角色签发有限权限上下文。

一、AI不应该直接拥有管理员token

模型输出：

delete customer。

即使工具存在，也不意味着它有资格调用。

所有动作都经过：

tool policy gateway。

二、一个具体例子

客户C100咨询套餐到期时间。

机器人当前任务权限：

read_subscription(C100)。

不能：

read_subscription(C200)；
export_customers；
change_owner。

即使模型生成了其他customer_id，工具层仍然拒绝。

三、WechatApi 在这里的位置

WechatApi负责：

当前微信客户是谁；
当前账号关系。

工具权限上下文基于：

customer_id；
relation；
conversation。

四、权限按任务签发

不是机器人永久拥有一组巨大权限。

每次AI任务创建：

capability_token。

例如只允许：

ticket.create；
customer.read_basic。

任务结束后失效。

五、参数范围也要约束

工具：

send_file。

不仅检查能不能调用。

还要检查：

file_id是否属于允许素材；
target是否当前客户。

权限和参数双重校验。

六、读和写分开

AI可以读取客户基本状态。

不代表可以修改。

Tool Scope：

crm.customer.read；
crm.customer.update。

严格区分。

七、高风险动作永远人工确认

退款；
删除；
负责人修改；
敏感导出。

AI最多：

prepare_candidate。

人工批准后，业务服务以人工身份执行。

八、群聊权限更低

群里公开机器人。

不要让它拥有客户级高风险工具。

普通群机器人可能只开放：

FAQ；
工单候选；
公开资料。

九、工具返回也要最小化

查询CRM。

底层返回几十字段。

AI只需要：

套餐到期日。

工具适配层只返回必要字段。

减少敏感信息暴露。

十、工具调用链

Agent先规划。

Policy检查。

Executor执行。

Result filter过滤。

最后模型组织回复。

每一步边界清晰。

十一、跨租户

SaaS场景最重要。

capability中固定：

tenant_id。

模型无法通过参数切到其他企业。

底层查询强制tenant。

十二、权限过期

任务等待客户1小时。

旧capability不应该永久有效。

可以：

有效期5分钟。

再次执行时重新评估权限。

十三、员工AI助手

如果AI代表客服A执行。

权限不超过A。

A看不到客户C：

AI也不能看。

AI不是绕过后台权限的新入口。

十四、审计

每次工具调用：

谁发起；
AI还是人工；
当前客户；
权限scope；
参数摘要；
结果。

高风险可追踪。

十五、异常

模型频繁尝试未授权工具。

可能是Prompt设计问题或恶意输入。

进入：

tool_policy_anomaly。

十六、测试

准备：

越权客户ID；
跨租户；
删除工具；
超范围文件。

验证工具层始终拒绝。

安全不能只依赖模型测试。

十七、数据看板

工具调用；
权限拒绝；
人工审批；
高风险候选；
跨范围参数。

持续监控。

十八、总结

个人微信二次开发进入AI Agent阶段以后，真正的安全边界不能建立在“模型应该知道自己不能做什么”上。

WechatApi 可以提供微信客户和消息上下文。

本地工具网关通过任务级能力、客户范围、参数约束、读写分离和人工确认，让AI每次只获得完成当前工作真正需要的最小权限。

真正成熟的AI微信机器人，不是拥有后台所有能力以后靠Prompt自律，而是即使模型生成了错误调用，底层服务也从制度上根本不允许它越权。