「云权限最小化」是安全工程师与开发团队的高频任务。它的输入通常是权限策略与使用记录，期望得到的是收缩建议。这类有固定流程、又需要一点判断力的工作，很适合封装成智能体 Skill。

“感觉好用”不足以说明技能有效。下面给出一套轻量的评估方法，用来判断「云权限最小化」是否达标，以及每次修改后是变好还是变坏。

1. 建一个样例集

收集 10～20 份有代表性的权限策略与使用记录（已脱敏），覆盖常见情况、困难情况和边界情况。为每份样例写下“合格输出应该包含什么”。

2. 定义评分维度

维度0 分1 分2 分
完整性缺少主要部分缺少次要部分收缩建议结构完整
准确性有编造或明显错误有小瑕疵内容都能在输入中找到依据
流程遵循跳过多个步骤跳过一步按步骤执行
边界处理缺信息时编造部分提问先提问或明确标注
可用性需要大改需要小改基本可直接使用

3. 打分方式

  • 人工打分最可靠，两人独立打分取平均
  • 可以让另一个模型按评分表初评，但要人工抽查，不要完全依赖
  • 记录每个样例的得分和问题描述

4. 回归测试

每次修改技能后，跑一遍完整样例集，比较总分与各维度变化。某个维度下降时，回看是哪条修改导致的。

5. 关注真实使用

离线样例之外，留意真实使用中被人工大幅修改的输出，把它们补进样例集。

每一步可以单独检查

  • 列出已授予权限：是否完成、是否有依据
  • 对比实际使用：是否完成、是否有依据
  • 建议删除未用权限：是否完成、是否有依据
  • 分步实施：是否完成、是否有依据

提醒

评分表是工具，不是目标。属于高风险：涉及权限、个人信息或不可逆操作，Skill 只产出建议或草稿，执行前必须人工确认。不要为了分数好看而让技能输出冗长内容。相关：测试用例、故障排查。

什么时候用这个技能

  • 手头有权限策略与使用记录，需要在较短时间内得到收缩建议
  • 同类任务每周出现多次，希望每次处理方式一致
  • 结果要交给同事或上级复核，需要统一的结构和清楚的依据
  • 新人接手这类工作，需要一个可以照着做的标准流程

反过来，如果只是偶尔做一次，或者任务高度依赖现场判断，直接和代码、配置与云环境里的智能体对话即可，不必专门封装成技能。

交付物结构示例

建议把收缩建议固定成下面的结构（示意），方便复核与归档：

## 结论
一句话说明最重要的发现或结果

## 主要内容
- 列出已授予权限：……
- 对比实际使用：……
- 建议删除未用权限：……
- 分步实施：……

## 依据
- 引用输入中的具体位置或数据

## 需人工确认
- ……（没有则写“无”）

结构固定之后，复核的人只要先看“结论”和“需人工确认”两部分，就能快速判断结果能否使用。

延伸阅读

说明：文中的配置、代码与目录结构均为示意，用于说明思路；各平台的入口、字段名与能力会更新，落地前请以对应官方文档为准。示例中的数据与场景为虚构，不代表真实案例。