「面向 AI 代理的 IAM」真的是一个独立的问题，还是只是 RBAC 多绕了几步？

我反复遇到一种故障模式，它既不完全属于「安全」讨论，也不完全属于「AI 准确性」讨论。我想和真正遇到过这个问题的人核对一下我的想法。场景如下：一个 AI 代理（RAG 副驾、多租户支持机器人、内部工具调用代理）被授权访问某个资源，权限检查通过，没有崩溃，也没有报错。但它返回的具体数据或采取的行动仍然是错误的，而且危险：一个支持 AI 拉取数据——它检索到了错误关联账户的余额，这不是因为访问被拒绝，而是因为查询在用户被合法允许接触的数据中解析到了错误的实体。一个编排器为子任务启动了一个子代理，而该子代理继承了（甚至更糟，扩大了）没有人明确授予它的权限。一个代理拥有执行破坏性操作（删除、写入）的技术权限，但本不该自主执行这些操作，尽管凭证本身是有效的。问题：有谁在生产环境中见过这种确切的故障吗？这个问题是否已经被我还没发现的某种方案解决了，还是说大家都在承担风险，因为网关/IAM 工具覆盖不到？这算是一个网关层面的问题吗？