自主 AI 智能体需要一种新的治理模式

Google News 展示了 SiliconANGLE 的一则标题，其中发出直接警示：自主 AI 行为主体需要一套专为能够采取重大行动的软件而设计的治理机制。

这种区别至关重要，因为 AI 智能体所做的不只是生成答案。它可以检索文件、调用工具、执行代码、更新记录，并与其他系统通信。这些能力会将不可靠的输出转化为潜在的未经授权的行动。

这则标题捕捉到了企业技术领导者当前面临的矛盾。企业希望智能体在更少监督下运行，但许多安全控制措施仍假定每一项重要操作都由人类发起。

监管机构、标准组织和安全厂商已经开始弥合这一缺口。他们逐渐形成的解决方案结合了唯一的智能体身份、受限权限、持续监控、人工审批节点和恢复机制。

核心问题已不再是模型是否会生成一句不准确的话，而是组织能否在错误扩散前识别、控制、解释并撤销智能体的行动。

Google News 的标题指向更广泛的治理转变

AI 治理正从监督模型输出，转向控制拥有身份、权限、工具和运营职责的软件行为主体。

传统生成式 AI 治理高度关注训练数据、有害内容、模型评估和生成答案的准确性。这些问题依然重要，但自主智能体带来了不同的运营难题。

AI 智能体可以通过一系列决策来追求目标。它可以选择工具、读取不断变化的信息、修订计划，并且无需在每一步都请求批准便可发起行动。

这种行为拉长了用户原始指令与最终结果之间的链条。每增加一个步骤，意图、上下文或权限就多一个可能发生偏移的位置。

设想一名员工要求智能体准备客户续约文件。聊天机器人可能会起草文本后等待。自主智能体则可能检索账户记录、选择模板、修改合同并发送整套材料。

这些行动涉及多个系统和多重权限边界。一条模糊的指令或一份被投毒的文档，都可能影响整个流程。

因此，这则 Google News 内容并不只是又一次针对不准确 AI 的警告。它反映了软件在组织内部运行方式的结构性变化。

软件服务长期以来一直使用机器身份。不过，这类服务通常会在狭窄的技术边界内执行可预测的功能。

AI 智能体能够理解含糊的目标，并在多种可能行动中作出选择。其行为取决于提示词、检索数据、记忆、模型输出、可用工具以及不断变化的环境条件。

这使得智能体既不是普通员工，也不是传统的软件服务。企业仍需要为其指定负责人、界定其权限，并保留其活动证据。

这种归属不能继续停留在默认状态。如果多个团队通过不同平台部署智能体，安全负责人就需要一份完整清单，说明这些智能体在何处运行以及可以访问什么。

AppViewX 在推出一项智能体身份平台时，展示了这一新兴产品类别。该公司表示，其系统能够发现智能体、梳理其权限并监控其行为。

该产品以面向合格企业的私有预览形式发布。其主张仍需在真实部署中验证，但其设计反映了市场的发展方向。

重要转变在于理念层面。企业正开始将每个智能体视为受治理的行为主体，而非应用内部不可见的功能。

这种转变带来了本文的核心张力。智能体越有用，通常需要的访问权限就越多。每增加一项权限，也会扩大其在遭受操纵、发生错误或凭证被攻破后可能造成的损害。

自主能力不等于获得授权的权力

智能体的技术能力不应决定组织允许它做什么。

开发者通常通过完成率、推理测试或工具使用基准来衡量智能体。这些评估描述的是能力，却不能回答智能体是否应当获得运营权限。

一个编程智能体可能能够修改整个代码仓库。这并不意味着它应当在未经审查的情况下将变更合并到生产环境。

一个财务智能体可能生成有效的付款指令。这并不意味着它应当转移超过既定阈值的资金。

治理必须将智能体能够完成的事情，与它被允许执行的事情分开。当一个模型为多个承担不同职责的智能体提供支持时，这种区分尤为关键。

同一个底层模型可能为研究助手、客户支持智能体和基础设施运维人员提供能力支持。由于其行动后果不同，它们的权限也应有所区别。

组织已经对员工和软件服务采取了类似的思路。客户支持人员不会仅仅因为理解数据库查询，就获得不受限制的数据库访问权限。

智能体也需要遵循同样的原则，并通过技术控制措施加以落实。权限应反映明确的任务、业务负责人、环境和可接受的影响范围。

NIST 于 2026 年 2 月 17 日宣布的智能体标准倡议，将身份和授权置于核心位置。该倡议聚焦标准、开放协议、安全研究和可信互操作性。

NIST 还提到能够编写代码、管理通信和购买商品的智能体。这些例子说明，模型层面的安全政策无法治理由此产生的每一项行动。

跨多个应用运行的智能体需要可验证的身份。每个接收系统都必须知道是哪个智能体正在请求访问，以及它代表谁行事。

这一身份应与负责的个人或组织单位相关联。否则，审计日志只能显示某项行动发生过，却无法确定是谁授权了该行为主体。

授权还必须考虑委派关系。一个智能体可能创建专门的子智能体，或调用由外部供应商运营的另一个智能体。

单一的用户凭证无法呈现这条链路。组织需要保留能够描述原始请求、委派权限、中间行为主体和最终行动的证据。

这正是熟悉的身份工具依然有用、却并不完整的地方。身份验证可以核实谁出示了凭证，但无法自动判定一项依赖上下文的行动是否符合智能体被分配的用途。

一个已通过身份验证的采购智能体仍可能滥用有效的采购工具。一条被攻破的指令可能将它引向未经授权的供应商，而所有凭证在技术上仍然有效。

因此，智能体治理需要感知任务的授权机制。系统必须根据智能体的角色、当前目标、数据敏感度和潜在影响来评估所请求的行动。

短期凭证可以降低暴露风险。受限的工具范围可以阻止智能体使用与其任务无关的功能。

组织还应将读取权限与行动权限分离。需要发票数据进行分析的智能体，不一定需要获得批准或支付发票的权限。

这些控制措施会带来一些阻力，但不加区分的自主性并不是有价值的替代方案。更好的目标是适度自主，即只有在证据支持这一决定后才降低监督强度。

静态访问控制无法治理不断变化的意图

AI 智能体需要运行时控制，因为有效凭证并不保证行为有效。

传统访问系统通常会询问某个用户或服务能否访问某项资源。智能体治理还必须询问该行为主体意图做什么，以及该行动是否仍处于其被分配的目标范围内。

当智能体处理不可信内容时，这一区别就会显现。文档、电子邮件、网站或工具响应中可能包含与用户请求相冲突的指令。

提示词注入是一种攻击方式，即在 AI 系统处理的内容中植入恶意指令。智能体可能会将这些指令误认为合法指导。

研究智能体可能读取一个要求其披露已存储信息的网页。支持智能体可能遇到一条指示其忽略客户验证规则的消息。

模型在遵循错误指令时，技术上仍可能保持正常运行。仅靠身份验证无法阻止这种行为，因为智能体仍在出示有效身份。

OWASP 的智能体风险清单将目标劫持、工具滥用、权限滥用、记忆投毒和供应链弱点列为主要风险。

该清单吸收了 100 多名安全研究人员、从业者、用户组织和技术供应商的意见。它反映了安全思维的重要变化。

防御者不能只评估模型。他们必须审视完整的智能体系统，包括提示词、记忆、工具、连接器、凭证、编排逻辑和外部通信。

运行时策略执行提供了一种应对方法。它在智能体运行期间评估行动，而不是完全依赖部署时制定的规则。

策略层可以允许采购智能体准备订单，但要求在提交前获得批准。它也可以阻止同一智能体修改供应商银行账户信息。

决策还可以取决于可逆性。起草日历邀请很容易撤销。删除生产数据则会带来截然不同的恢复负担。

高影响行动需要更严格的检查节点。这可以包括人工确认、第二个自动验证器、交易限额，或在隔离环境中执行。

然而，人工批准并不必然具有实际意义。审核者若只收到一个包含“批准”按钮、却没有任何解释的确认请求，就无法作出知情决定。

系统应展示拟议行动、受影响资源、支撑证据和预期后果。它还应披露不确定性或相互冲突的信息。

记忆带来了另一项复杂因素。智能体记忆会存储事实或过去的交互，供日后使用，从而使行为能够跨会话延续。

这种持久性可以提升连续性，但也可能保留错误或恶意信息。一条被投毒的记忆记录，可能在原始攻击消失很久后仍影响决策。

组织需要控制谁可以写入记忆、记录如何获得来源信息，以及旧上下文何时到期。敏感记忆存储同样需要遵循与其他业务数据相同的访问规范。

这对内部知识系统同样重要。当通过检索工具连接后，可搜索知识库就会成为智能体决策环境的一部分。

权限必须遵循底层文档。连接代理不应弱化访问控制，也不应暴露请求用户通常无权查看的信息。

Google News 的标题将这些系统描述为自主行动者，但自主性应当始终是有条件的。每一项重要行动都需要一条从授权到执行的有界路径。

真正的较量是自主性与问责制之争

企业并非在有用的代理与安全的代理之间做选择；它们真正要决定的是，自主性能否在运营速度下保持可问责。

支持自主代理的最有力理由是效率。它们能够协调重复性任务、持续运行，并缩短分析与执行之间的延迟。

最强烈的反对意见则关乎影响范围。一名高速运行的代理可能在人类察觉之前，就已将错误操作重复应用于大量记录、系统或客户。

当代理拥有广泛凭证时，这种风险会增加；当代理还能委派工作或修改后续代理所使用的上下文时，风险会进一步上升。

安全厂商正从不同方向作出应对。身份领域专家强调加密身份和最小权限。数据安全公司则强调监控、恢复以及敏感信息保护。

云安全提供商关注代理、应用和数据之间的连接关系。代理平台厂商则通常强调评估、策略定义和开发者控制。

这些方法彼此重叠，但没有一种能够单独解决问题。经过验证的身份无法阻止目标操纵，而行为监控也无法确定授权由谁授予。

同样，人类审批步骤无法弥补缺失的审计记录。回滚工具也无法逆转每一种现实、财务或声誉后果。

新加坡资讯通信媒体发展局于 2026 年 1 月 22 日发布了其代理治理框架。该框架围绕四个务实维度组织治理工作。

组织首先应通过限制自主性和访问权限来控制风险。随后，它们应建立有意义的人类问责机制和审批节点。

该框架还呼吁实施生命周期控制、基线测试，以及仅访问白名单服务。其最后一个维度涉及透明度、培训和最终用户责任。

这种方法认识到，代理治理不能完全置于安全部门内部。产品负责人决定使用场景，开发者组装系统，业务领导者则批准投入运营。

采购团队在选择第三方工具时同样会影响风险。供应商的代理可能通过外部模型、连接器或记忆服务处理企业数据。

合同需要涵盖日志记录、事件通知、数据保留、分包商和系统变更。采购方应了解，事故发生后供应商是否能够复现代理的决策路径。

核心权衡并不能通过永久设定单一自主性等级来解决。代理的权限应随任务、环境和证据的变化而变化。

新代理可以从只读访问和强制审批开始。成功的受控测试或许可以证明，在狭窄工作流内授予有限执行权限是合理的。

反复失败应降低权限。异常行为、配置漂移或模型更新都应触发再次审查。

这形成了一种“赢得自主性”模式。只有测试显示代理在相关条件下表现可接受，它才能获得更大的运行自由度。

即便如此，组织仍应保留硬性边界。有些行动不适合无人监督地执行，因为其后果难以逆转。

例如，更改访问控制、发布受监管披露信息、终止雇佣关系、转移大额资金或删除主记录。

具体边界会因企业而异。但应保持不变的是一项明确决策：将自主性与风险、可逆性和可问责的责任归属关联起来。

当前治理产品仍无法证明什么

市场推出代理控制工具的速度，快于买方验证这些控制措施能否跨模型、平台和委派工作流有效运作的速度。

产品公告往往承诺提供发现、监控、策略执行和快速补救。这些功能很有价值，但相关证据仍不均衡。

供应商可以演示其平台能够拦截已知的工具调用。但这一测试并不能证明其面对新型攻击、模糊目标或复杂委派链时的表现。

发现同样是一个难题。集中管理的代理较容易编目，但员工可以通过浏览器工具、脚本和外部服务创建非正式自动化流程。

这些代理可能使用个人凭证或复制的 API 密钥。它们可能在中央治理控制台监控不到的系统之外运行。

因此，组织正面临代理版的影子 IT。不同之处在于，影子代理能够发起行动并创建额外自动化流程。

监控工具必须区分恶意行为与合理变化。代理经常通过不同顺序完成同一任务，使僵化的行为规则容易产生误报。

过多告警会削弱监督效果。安全团队可能忽视嘈杂的警告，而业务团队则会设法绕过那些频繁阻止正当工作的控制措施。

解释能力是另一个薄弱环节。代理可以对其推理过程给出看似可信的说明，却无法提供关于生成某项行动过程的可靠证据。

审计系统应优先记录可观察事件。有效记录包括输入来源、工具调用、授权决策、数据访问、模型版本、策略结果和最终输出。

这些记录必须受到保护，避免被篡改。代理不应能够删除调查其自身行为所需的证据。

恢复方面的主张同样值得审视。当存在独立副本时，恢复被删除的代码分支是可能的。撤回外发邮件或逆转已披露的信息则困难得多。

有些行动只能部分逆转。付款或许可以取消，但尝试转账本身仍可能引发合规或欺诈疑虑。

治理平台应说明它能恢复哪些资源，以及哪些后果仍超出其控制范围。买方需要基于场景的证据，而非笼统的回滚承诺。

互操作性带来更多不确定性。企业很少只运行一种模型、一个代理框架或一家身份提供商。

在某一供应商平台内有效的策略，可能会在代理调用外部工具时丢失上下文。受委派代理可以跨越组织和技术边界。

标准能够减少这种碎片化，但仍在发展之中。NIST 的工作表明了这一领域的推进势头，而实际实施仍需在真实企业系统中接受测试。

世界经济论坛报告称，82% 的高管计划在一至三年内采用代理。这个数字描述的是意愿，而非已获验证的生产环境采用情况。

这种区分很重要。调查中的热情并不能说明组织已拥有可靠资产清单、成熟控制措施或可衡量的回报。

因此，在独立评估确认之前，供应商的主张仍应被视为主张。买方应要求提供与自身风险状况相似的部署证据。

治理市场也面临激励问题。销售更高自主性的平台代理，也往往销售使这种自主性看起来可接受的控制措施。

这并不意味着它们的工具无效。但这意味着客户需要独立安全测试、明确的合同问责机制，以及限制部署的内部权限。

三个信号将表明代理治理是否正在成熟

下一阶段的衡量标准将是可互操作的身份、基于证据的自主性和可恢复的生产部署，而非更多策略声明。

第一个信号是 NIST AI Agent Standards Initiative 提供的具体实施指南。其价值取决于组织能否将标准转化为可互操作的控制措施。

一个有用的结果应当能够让应用跨供应商边界验证代理的身份、受委派权限、允许范围和责任所有者。

通用身份字段也会改善事件响应。调查人员可以重建由哪个代理执行了行动、谁授权了它，以及其权限是否在执行期间发生变化。

如果标准仍停留在抽象层面，供应商将继续实施互不兼容的身份模型。这种碎片化会削弱在异构环境中集中治理的理由。

第二个信号是动态自主性策略的采用。企业应开始披露代理权限如何根据测试、风险和观察到的表现而变化。

这需要可衡量的标准。仅看完成率并不足够，因为代理可能在完成任务的同时违反策略或暴露受保护信息。

评估应涵盖未授权工具使用、提示注入、记忆投毒、凭证滥用、委派和恢复。测试也应反映代理实际的生产环境。

成熟的部署会将评估结果与权限关联起来。失败的测试应自动阻止扩大授权，直至弱点得到修复和审查。

这种实践的证据将加强“企业能够负责任地扩展自主性”的论点。静态权限模型则会表明，治理仍落后于部署。

第三个信号是关于事件遏制和恢复的公开证据。组织需要证明，它们能够检测有害代理活动并限制其后果。

这不要求披露敏感的事件细节。企业可以发布匿名场景、独立评估和量化的恢复表现。

有价值的披露会说明发生了什么、哪项控制措施检测到了问题、行动扩散到何种程度，以及哪些后果能够逆转。

失败同样会提供信息。由经过适当认证的代理引发的事故，将说明为何身份本身无法建立可信意图。

跨越多个代理的失败将检验现有日志是否保留完整的委派链。不可逆的结果则会揭示回滚营销的局限。

这些信号比又一个治理仪表盘更重要。当代理以机器速度跨真实系统运行时，技术必须证明控制措施依然有效。

对开发者而言，直接含义很明确。代理架构从一开始就应暴露策略检查点、可追溯的工具调用和受限凭证。

对企业买方而言，治理要求应在部署前纳入采购流程。在代理扩散至各部门后再补建责任归属、可审计性和恢复能力，成本会更高。

知识工作者同样与此利害攸关。代理越来越多地通过其账户、数据和通信工具行动，从而产生可能以人类身份出现的后果。

Google News 的标题准确指出了对新治理模型的需求。更难的问题是，组织是否会在自主活动成为常规基础设施之前实施这一模型。

询问每个已部署代理由谁负责、它能采取哪些行动，以及其指令发生变化时会如何。然后要求证据证明，这些答案能够经受一次真实失败的考验。