你对手机里的AI Agent下达一句简单指令：“帮我订下周去上海的机票，预算五千。”
看似一句话的需求，背后是一整套复杂的执行链路：读取日历行程、核验用户身份、比价筛选航班、登录订票系统、提交订单信息、调用支付工具、同步行程至日程表，后续还需根据航班变动，随时完成改签、退款等后续操作。
这也标志着AI的本质性跃迁：过去的AI活在语言里，只会回答问题；现在的Agent活在真实系统里，会直接执行动作。
传统对话AI回答出错，用户可以选择不采纳、手动修正，风险可控。而新一代Agent已深度接入文件系统、企业后台、支付账户、浏览器、代码仓库与各类业务流程，一旦决策失误、越权操作，将直接触发数据篡改、资金损耗、业务故障等真实后果。
随之而来的，是AI治理重心的彻底转移。Agent时代的核心治理命题，不再是“AI会不会说错话”，而是直击本质的制度拷问：机器凭什么代表人类做事？人类如何授权、控权、追责？
进入2026年，这套治理体系已不再是理论推演。中国正在快速搭建一套适配智能体的治理骨架，覆盖身份认证、权限授权、动作拦截、运行管控、全程审计、合规支付、责任追溯等核心环节，逐步破解一个朴素又关键的难题：让机器拥有替人行动的能力，却不剥夺人类的最终控制权。
01 AI治理迭代：从“管控输出内容”，到“约束真实行动”
纵观行业发展，AI治理已历经三个清晰的进化阶段，管控重心层层下沉、愈发精准。
第一阶段：Chatbot对话时代——治理“输出内容”。
早期AI仅承担问答、文案生成等基础功能，无任何执行权限。治理核心聚焦内容安全，重点防范违法信息、虚假内容、歧视言论、侵权诱导等问题，核心标准只有一条：模型能说什么、不能说什么。
第二阶段：Copilot辅助时代——治理“决策建议”。
AI不再局限于内容输出，开始深度辅助人类决策，参与审批风控、简历筛选、方案优化等工作，间接影响职场、业务、权益判断。此时治理核心升级为：自动化建议是否公平、可靠，是否会误导用户、损害用户合法权益。
第三阶段：Agent自主时代——治理“落地动作”。
这是颠覆性的一步。Agent突破了辅助边界，拥有了独立执行能力：可直接删除文件、发送邮件、分析交易、下单支付、操作系统、迭代数据。AI风险从虚拟的“语言偏差”，彻底转向真实的“行为后果”。
国内政策节奏精准匹配这一产业变革。今年5月发布的《智能体规范应用与创新发展实施意见》，明确将智能体定义为具备感知、记忆、决策、交互、完整执行能力的系统，并首次系统性提出智能体注册平台、数字身份管理、可信互联、合规支付、行为围栏、权限管控、全程追溯等核心体系，明确所有智能体操作，不得超出用户授权边界。
这标志着AI治理逻辑的根本性迭代：
旧逻辑：模型备案 → 内容安全审核
新逻辑：Agent身份确权 → 合法授权持证 → 工具调用 → 动作执行 → 全程留痕 → 异常拦截 → 责任追溯
9月发布的《人工智能安全治理框架3.0》进一步完善体系，单独增设智能体风险模块，覆盖设计、部署、指令输入、路径规划、工具调用、记忆存储、结果输出、停用销毁等全生命周期。至此，行业共识彻底统一：AI治理的核心风险，早已不是模型“胡说八道”，而是机器获取了不该拥有的行动权。
02 无需AI拥有人格，人类代理权已被软件化
谈及Agent治理，大众常陷入一个宏大误区：纠结AI未来是否具备独立法律人格。但在当下的产业落地中，这并非核心命题。
即便不赋予AI任何“电子人格”，人类与组织机构的各类行动权限，已然大规模向软件系统转移。信息访问、沟通协作、资金支付、采购审批、文件操作、系统配置、组织协同，原本由人主导、权责清晰的能力，如今被拆解为可调用、可组合、可委托、可迭代的标准化工具能力。
传统人类授权，是纸质合同、口头委托、组织制度，模糊且难以追溯：“委托专人在五千元预算内办理出行事宜。”
而Agent时代的授权，是机器可读、可验证、可管控、可撤销的精准运行规则，每一项权限都有明确边界：
委托人=真实用户，执行者=个人Agent，任务=机票预订，预算≤5000元，支付权限开启，合同签署权限关闭，授权有效期至本周五，二次委托层级≤2，支持随时撤销。
这并非给机器发放“身份凭证”，而是将人类传统的代理关系，拆解为可量化、可约束、可追溯、可闭环的数字化规则。
因此，Agent治理的本质，从来不是赋予机器人类的法律地位，而是解决核心问题：当人类通过机器行使各类权限时，如何把授权关系、能力边界、责任归属界定清楚、记录完整、管控到位。
原本存在于合同、制度、法律文本中的代理权，正式完成数字化、程序化、可执行化的升级。
03 治理颗粒度下沉：产品看备案，动作看实时风控
传统AI治理以“产品”为核心颗粒度：模型是否合规、应用能否上线、场景是否可控，通过备案、检测、认证完成前置管控。但Agent的动态进化能力，彻底打破了这种静态治理模式。
同一个Agent产品，名称不变、主体不变，但能力边界会持续迭代扩张：上午仅可读取邮件，下午接入邮件发送技能，次日打通企业数据库，一周后解锁支付接口，后续还可自主安装各类工具、拓展更多权限。
静态的产品备案、场景审核，完全无法适配动态的动作风险。真正的安全隐患，从不来自产品名称，而来自每一次实时、具体、不可逆的执行动作。
由此，行业形成三层立体治理结构，层层递进、互补兜底：
产品层：管控应用准入、场景合规、上线备案，解决“能不能落地”的前置问题。
Agent层：管控智能体身份、归属主体、权限范围，解决“谁在做事、有资格做什么”的主体问题。
动作层：管控单次操作的合法性、风险性、可逆性，实时拦截高危行为，解决“这一步能不能执行”的即时问题。
底层视角下，“打开天气网页”与“向供应商转账五百万元”，都是一次简单的工具调用（Tool Call），但二者的风险天差地别：前者仅读取公开信息，无任何风险；后者涉及大额资产转移、外部主体交互、不可逆操作、明确法律后果。
这也印证了核心逻辑：危险的从来不是工具调用本身，而是动作背后的现实风险与权责后果。
因此，Agent安全无法仅靠模型对齐解决。模型易受提示词注入、记忆污染、目标误解、工具漏洞影响，始终是柔性约束。而权限校验、凭证管控、策略规则、沙箱隔离、网关拦截、全程审计，才是守住安全底线的刚性硬边界。
04 思考与执行分离：AI可以提议，但无权擅自放行
一套成熟安全的Agent系统，核心设计原则是认知与执行解耦，彻底拆分“思考建议权”与“最终执行权”。
Agent可以自主推理、生成方案、提出动作建议：“建议删除批量文件”“建议完成这笔订单支付”，但绝不天然拥有执行权限。所有动作必须经过独立于模型之外的管控层校验，方可落地。
这层关键屏障，便是Action Control Layer（动作控制层），也是当前Agent安全体系的核心骨架，完整运行链路清晰可控：
用户意图 → Agent生成动作请求 → 身份核验+权限校验+风险评估 → 放行/拦截/延迟/人工复核/沙箱试运行 → 工具/API/支付/系统执行
阿里云Agent Identity产品已实现这套商业化落地逻辑：Agent每次调用服务，AI网关都会实时拦截，结合执行主体、操作行为、资源类型、上下文场景完成策略判定，最终放行权归属网关策略，Agent无任何自主决策权。
这类看似“笨拙”的规则体系，恰恰是Agent时代最稀缺的安全底座：支付超5万元自动转人工审批、批量删文件超100份延迟执行并告警、陌生域名访问直接拦截、Agent身份与凭证不匹配立即拒绝、子Agent权限超出父级授权直接熔断。
模型对齐的作用，是尽量让AI不产生坏想法；动作控制层的作用，是即便产生坏想法、发出坏请求，也绝对无法落地。二者互补而非替代，如同驾驶员判断与车辆刹车系统、安全护栏的关系，缺一不可。
05 无统一总开关：联邦式多点管控，各司其职守边界
很多人误以为，未来会出现一套统一的“Agent总防火墙”，集中管控所有智能体动作。但真实产业格局中，资源权限分散在不同主体、不同系统，单一中央管控系统既不现实、也不高效。
未来的Agent安全体系，是联邦式分布式控制平面，每个资源主体守住自身权限大门，通过统一的身份、授权、审计标准协同联动：
Agent运行时管控本地工作区权限；企业AI网关统一管控工具调用行为；云IAM体系管控计算与数据资源；操作系统管控设备、文件底层权限；开放平台管控API与账户入口；支付机构、银行分别管控资金流转与最终划拨。
国内当前的基建布局精准契合这一趋势。CNNIC今年9月上线的智能体可信基础设施平台（ATI），复用成熟的DNS与PKI体系，核心解决Agent身份锚定、证书验证、可信发现、透明日志留存问题，搭建起全网可信底座，而非包揽所有动作审批。
身份基建解决“机器可信、身份可查”，动作控制基建解决“行为合规、权限可控”，两层体系相互联动、彼此独立，共同构成Agent安全的双重底座。确认“这是Agent A”只是基础，核心仍是判定“Agent A是否有权操作对应资源、执行对应动作”。
06 多层授权门槛：用户同意只是第一道防线
用户授权，是大众认知中最核心的权限来源，但在Agent互联时代，这仅仅是第一道基础门槛。
即便用户明确授权Agent预订机票、发起支付，不代表航空公司、旅行平台、支付机构、银行、操作系统会自动放行。每一个资源持有主体，都拥有独立的安全管控与准入规则。
这就是区别于传统互联网的多门控授权体系：一次Agent动作的落地，必须逐层通过用户、平台、机构、系统的多重安全校验，缺一不可。
这套体系是安全刚需，但也催生了下一代互联网的核心博弈：Agent安全正在成为全新的平台壁垒与入口之争。
平台可基于安全合规，合理限制陌生Agent的高权限访问；但也可能借“安全”之名，构建封闭生态、排斥外部智能体接入，形成新型垄断。
未来产业竞争的关键，在于平衡安全与开放：既要杜绝无序越权风险，也要防止平台将商业壁垒包装成安全规则，最终需要形成公开、可验证、可申诉的统一规则体系。
07 多级委托不膨胀：权限可传递、不可越级
单Agent权限管控已足够复杂，多Agent协同的链式授权，更是行业核心难点。
一次普通的机票预订，可能形成多级委托链路：用户授权个人Agent→个人Agent委托出行Agent→出行Agent调用航班Agent→航班Agent联动支付Agent。链条越长，权限失控、范围膨胀、权责模糊的风险越高。
对此，行业已形成刚性核心原则：子级权限必须小于等于父级权限，授权链路只可收缩、不可扩张，下游Agent无法获取上游未授予的额外权限。
国内Agent Security Link体系、IETF国际标准草案均围绕这一原则落地，通过可衰减授权Token，严格约束授权的范围、资源、时效与转委托深度，杜绝权限无限膨胀。
全新的权限价值观随之成型：身份可常驻，权限仅短驻。
用户可长期持有专属个人Agent，但绝不授予永久全量权限。更合理的授权模式是：身份长期有效、任务临时生成、凭证按需签发、权限随用随缩、高危动作单独确认、任务完成自动过期、根权限支持一键撤销。
Agent权限不再是永久产权，更像限时租约：有明确期限、固定范围、约束条件，到期自动失效，从根源规避长期权限滥用风险。
08 智慧≠权威：拆分认知能力与决策权责
大众对Agent的“自主性”长期存在认知误区：认为模型越聪明、推理能力越强，自主权限就该越大。
真正的治理逻辑，需要将自主性拆分为三个完全独立的维度，严格区分能力与权力：
认知自主性：Agent的理解、推理、规划、学习能力，可无限提升；
行动自主性：Agent的工具调用、操作执行、流程落地能力，可控开放；
权威自主性：涉及法律、资产、组织权责的最终决策权，严格禁止机器获取。
典型如政务、采购、司法类智能体，可自主完成海量材料筛查、风险研判、方案生成，认知能力极强，但绝对无权作出行政认定、法律裁定、资产处分等核心决策，最终权责仍归属于人类主体。
上海政府采购监管智能体的试行规则，也明确这一核心边界：智能体仅为辅助工具，不得替代法定主体决策，全程保留人工审核、干预、否决机制。
核心准则清晰且坚定：Intelligence ≠ Authority，智慧永远不等于权威。
Agent治理的终极目标，不是让人类无休止点击“确认授权”，而是赋予人类核心主动权：高危动作随时接管、执行过程随时中断、失误操作随时回滚、泄露权限随时撤销、故障问题全程追溯。
相较于笼统的“AI急停开关”，更精准的治理思路是：不轻易关停整个AI系统，只精准关闭失控的能力、失效的凭证、有风险的工具，实现精细化、最小范围风险管控。
09 行业最大空白：缺失统一的“动作语义”标准
当前Agent基建，已基本解决“机器如何互联、如何可信”的基础问题：身份认证、能力发现、可信连接、工具调用均有成熟标准。但更深层、更关键的短板愈发凸显：机器动作无法对应人类社会的制度语义与权责后果。
机器接口只会冰冷反馈操作行为：创建订单、发起支付、修改配置、发送消息。但人类社会需要明确判定行为性质：是草稿预约还是正式合同？是普通提醒还是信息泄露？是参数调试还是生产故障？是小额报销还是大额资产划转？
这就是行业亟待补齐的核心层级——动作语义（Action Semantics）。它区别于机器底层的接口语义，专门定义机器动作对应的社会属性、法律后果、权责边界。
一套完整的动作语义，必须清晰回答所有关键问题：执行者、归属主体、操作动机、操作资源、影响范围、涉及金额、可逆性、外部风险、授权来源、二次委托权限。
目前行业已实现主体、动作、资源、场景的基础识别，但跨平台、跨机构、跨系统的通用动作语义标准仍完全空白，这也是下一代Agent协议竞争、基建落地的核心赛道。
10 三层基建格局：信任层成型，追责层最薄弱
纵观国内Agent治理体系建设，已形成清晰的三层基建梯度，成熟度层层递减：
第一层：信任平面（Trust Plane）。解决身份可信、主体可查、连接可靠问题，目前落地最快、体系最成熟。依托ATI平台、DNS、PKI证书体系，实现Agent身份锚定、可信发现、全程日志留存，筑牢基础信任底座。
第二层：权限平面（Authority Plane）。解决授权、委托、控权问题，当前处于快速成型期。动态凭证、多级委托、策略引擎、AI网关、支付风控、人工复核机制持续完善，逐步实现权限按需分配、动态收缩、全程可控。
第三层：问责平面（Accountability Plane）。解决出事取证、责任划分、追偿赔付问题，是目前最薄弱的环节。暂无专属规则体系，仍依托传统民法、合同法、网络安全法、数据安全法及个案判定，难以适配Agent多级委托、机器执行、跨主体协作的新型权责场景。
这也决定了Agent治理不会快速出台一部专属的“智能体法”，更现实的路径是：在现有法律与监管框架基础上，针对性补齐Agent身份、授权、动作、审计、追责的专项规则，逐步形成适配机器代理时代的治理体系。
11 结语：能力可外借，权力必可控
大众常将Agent进化等同于能力进化：模型更聪明、工具更丰富、自动化程度更高。但真正决定Agent能否深度融入真实产业、民生、政务场景的，从来不是能力上限，而是治理底线。
成熟的Agent体系，最终要能清晰回答六大核心问题：我是谁、我代表谁、我被授予哪些权限、本次要做什么、谁能阻止我、出错如何溯源追责。
国内正在推进的政策标准、身份基建、网关产品、合规规则、行业试点，共同拼凑出一套全新的机器行动许可系统。
这套体系仍在迭代完善：身份层基本成型，授权层标准博弈激烈，动作语义与追责层仍存在大片空白。平台封闭风险、权限膨胀风险、跨主体责任划分难题，尚未形成统一解决方案。
但产业方向已然无比清晰：未来的AI，能力可以无限进化，行动必须有据、有权、有界、有责。
机器可以替人做事，但永远不能替人做主。