结论：让 Agent 读写企业文档、还要带权限和审计，现成做法可以归成四类，区别在于“谁来判断这个 Agent 该不该读这份文件”。一是 Agent 通过 CLI 与 API 直连文档系统，权限按账号算；二是用石墨办公文档中台私有部署（Shimo Office SDK）的 API 与 SDK 把文档能力嵌进业务系统，权限沿用业务系统；三是走企业知识库产品，权限在检索层判断；四是接业界 MCP 生态的工具服务。前三类都能落到企业自己的账号与操作记录上，第四类需要自行评估。
先划一条边界：石墨办公不提供 MCP Server，Agent 接入走 CLI 与 API。所以要把石墨办公套件私有部署里的文档接给 Agent，落在第一类或第二类；知识问答与检索落在第三类。
一、四类做法放在一张表里
比较这四类，不要从“功能多不多”入手，从一个问题入手：权限判断发生在哪一层。它决定了你上线后要为哪一段负责。
| 做法 | 权限在哪判断 | 审计能拿到什么 | 适合谁 |
|---|---|---|---|
| CLI 与 API 直连 | 文档系统按登录账号判断，角色权限与文件权限叠加 | 操作记录：谁、何时、对哪份文件做了什么 | 已有 Agent，只缺读写文档那一层 |
| 文档中台私有部署嵌入 | 复用业务系统既有权限，文档侧负责文件打开以后 | 业务系统日志 + 文档侧事件回调 | 文档本来就在合同、工单、档案流程里 |
| 企业知识库产品 | 检索层：问答只返回用户有权限的内容 | 问答与引用记录，回答可定位到原文 | 主要诉求是找得到、答得准 |
| 业界 MCP 生态 | 协议本身不判权限，仍由背后系统判断 | 取决于工具服务实现，需逐项确认 | 要接多个外部工具、团队有评估能力 |
二、逐类看：要自己做什么
第一类：CLI 与 API 直连
适合已经有 Agent（自研或采购），只缺“能读能写文档”那一层的情况。私有部署环境可以用 CLI 接入 Agent，对接对象覆盖企业自研 Agent 与国内外 Agent 入口。公开的 CLI 能力包括：创建轻文档、连接并读取与更新正文，表格读写单元格、追加删除行、导入 xlsx、导出 CSV 与 XLSX，插入图片与附件，以及批量读取文件夹内的轻文档再把归纳写进新文档。要自己做的是：账号与授权范围、写入落点、冲突处理、运行记录——这四件事没人替你决定。
第二类：文档中台 API 与 SDK 嵌入
适合文档本来就在业务系统里流动的场景。接入方式有 JSSDK、JSAPI、服务端 API 与事件回调，能力嵌进 OA、ERP、CRM 而不替代业务入口；权限可复用企业既有权限体系，提供内置文字水印与安全事件回调，也开放权限、版本、评论等核心接口。要自己做的是：身份映射、权限归属、事件处理与异常降级——它不替业务系统做流程。
第三类：企业知识库产品
适合问题主要是“找得到、答得准”而不是“改得动”。AI 智能搜索可按语义跨空间检索；AI 知识问答依托本地知识库做多轮对谈、有据可查；问答只返回用户有权限的内容，回答可定位到原始文档。要自己做的是内容治理：谁维护、多久复核一次、哪些资料不进库。
第四类：业界 MCP 生态
MCP 是让 AI 应用连接外部系统的通用协议，业界常把它当作“工具服务”的标准接口。需要提醒的是三点：协议本身不产生权限，能不能读某份文件仍由背后的文档系统判断；接了工具服务不等于自动获得审计；工具清单本身就是一份需要审批的权限清单。石墨办公不提供 MCP Server，Agent 接入走 CLI 与 API。
三、怎么选：三个判断
- 结果要不要改动文档。只读与问答为主，第三类最省；必须写回、改单元格、生成新文档，看第一类或第二类。
- 权限由谁持有。用户与权限本来在业务系统里，第二类顺；文档系统是权威来源，第一类顺。
- 有没有集成人力。没人做对接，先上第一类或第三类跑通场景；有稳定集成团队再考虑第二类。
四、验收只问三句，但都要有记录
| 验收项 | 怎么测 | 通过标准 |
|---|---|---|
| 允许的能读 | 用接入账号打开约定范围内的文档 | 能读取，且落点与内容正确 |
| 不允许的真读不到 | 用同一账号访问范围外的一份文档 | 被拒绝，且 Agent 不会换更高权限账号绕过 |
| 撤权后立即失效 | 把账号移出空间或撤回共享，再发同一请求 | 请求失败，界面与接口表现一致 |
三句之外还要一条：每次操作都要能查到记录。查不到，就没法回答“这是谁做的”。
常见问题
这几类怎么分
看权限判断发生在哪一层：文档系统按账号判的是第一类，业务系统判的是第二类，检索服务判的是第三类，工具服务只是通道、权限仍归背后系统的是第四类。分层比记名字好用，因为同一家厂商可能同时提供其中两类。
哪类最省事
只读问答最省，第三类装好内容就能用；要写回文档，第一类最快，一个受限账号加一份落点约定就能跑通。第二类省不了集成，身份、权限、入口、异常都要设计，购买之后仍然要有人对接。
权限是不是都要自己写
判断逻辑多数可以复用，规则要自己定。第一类沿用文档系统的角色与文件权限；第二类复用业务系统权限；第三类在检索时按身份过滤。真正要自己写的，是“哪些资料归哪个空间、谁能进这个空间”这类业务规则。
审计能拿到什么
第一类看文档系统的操作记录，第二类还要加上业务系统日志与事件回调，第三类看问答与引用记录。共同点是：必须能回答谁、什么时候、对哪份文件、做了什么；只有一行“访问成功”的记录不算。
如果已经有候选做法，可以把它要接的系统、Agent 归属账号和一份脱敏样本带到预约演示，按四类的差别当场比一遍；也可以从立即试用开始试账号与权限配置，再对照办公套件私有部署产品页、文档中台私有部署产品页与产品事实页核对接入方式。