智能体治理

NIST 下属的 CAISI 在 2026 年 2 月 17 日启动了 AI 智能体标准倡议，要为能自主行动的下一代 AI 建立可信、可互操作、安全的标准框架。八个多月过去，业界普遍抱怨：原则很多，可执行的认证框架还没落地。常见解释是官僚效率低。但从认知角度看，迟到的原因更根本——智能体是一类「用传统测试方法测不了」的系统，旧的标准范式本身需要被重新发明。 传统标准为什么套不住智能体？ 传统产品标准的逻辑是：定义一组确定性测试用例，产品跑一遍，过了就发证。灯泡亮不亮、电池安不安全、软件有没有已知漏洞，都能这么测。这套方法成立的前提是：被测对象的行为是可枚举、可复现的。 智能体恰恰破坏了这个前提。它面对开放环境、自主选择工具、多步行动、还会被别的智能体或用户诱导。你写下一千个测试用例，它在第一千零一种真实情境里的行为，标准文档根本没覆盖。NIST NCCoE 的概念文件列了身份认证、零信任授权、不可否认、提示注入防护、治理五个重点——全是在承认：我们不知道怎么「测」它，只能先把安全身份的架子搭起来。 智能体为什么「测不了」？ 这不是工程细节，而是认知特性。一个系统的行为若高度依赖它在每一步的自由判断，你就无法用有限的测试用例穷举它。就像你不能用一套笔试题证明一个人「永远不会做出不道德的事」——因为道德判断发生在开放情境里。 标准制定者面对的两难是：标准要可执行就得具体化，可一具体化就漏掉开放世界；要不漏就得写原则，可原则又落不了地。这种两难，本质上是把用于确定性机器的认证逻辑，硬套在一个有自主性的认知体上。 破局点到底在哪？ 破局点可能在于：不再试图测智能体本身的行为，转而测产生这个智能体的治理过程——它有没有身份登记、有没有行为留痕、有没有可回滚的刹车、蔓延指数是否受控。arXiv 2604.16338 显示治理成熟度每提升一级，智能体蔓延就能降一个数量级。标准从「认证结果」转向「认证过程」，这是智能体时代监管范式的真正前沿转变。 NIST 的迟到，与其说是失败，不如说是整个世界在学着为一种测不了的东西立法。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：标准为何迟到

9 月 29 日，智能体安全初创 Reco 宣布融资 5500 万美元。它被引用最多的一个案例是：某财富 100 客户在排查时发现，公司内部运行着约 2.1 万个自己根本不知道存在的智能体。Wiz 把这种现象命名为 agent sprawl——智能体像影子 IT 一样 uncontrolled 地增殖，每个都带着真实权限在网络里乱跑。Gartner 预测到 2028 年平均财富 500 企业将使用超过 15 万个智能体。 为什么这是安全问题而不是管理问题 普通聊天机器人，人读输出再决定下一步；智能体直接调用工具、读写数据、发邮件、动账户。一个没人认领、却挂着生产凭证的 Agent，等于一个被遗忘的、永远在线的内部账号。OutSystems 的调研称 94% 的组织担心 AI 蔓延带来复杂度与安全风险，但只有极少数建立了集中治理。 治理的四步最小动作 清点：先做全量发现。扫描云环境里的服务账号、API key 绑定、定时任务与 Webhook，凡是能自主执行动作的主体都登记，而不是只看你批准过的那些。 认领：每个在册智能体必须有唯一 owner，无主的一律暂停。2.1 万个未知 Agent 里，大部分连是谁建的都查不到。 降权：给 Agent 的凭证做最小权限隔离，独立身份、独立密钥、独立审计日志，禁止复用人类员工的 OAuth 令牌。 下线：设 TTL 与复盘机制，长期无调用的自动归档下线，避免僵尸智能体残留。 趋势判断 Reco 这类公司半年内融资扎堆，本身就说明市场从「要不要管」进入「怎么管」。Anthropic 年中发布的 Agent 零信任框架、CSA 二月的 Agentic 信任框架，都在给这套清单提供方法论。对企业安全团队，2.1 万这个数字不是危言耸听，而是一个提醒：你的下一次内部审计，对象已经不是员工账号，而是智能体 fleet。 还要补一句：发现未知智能体的最佳时机，往往是一次权限泄露或账单异常。与其等事故倒逼，不如现在就把「每季度一次智能体清点」写进运营手册，把无主身份当作最高优先级的清理对象。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：Agent Sprawl 治理

Gartner 的预测摆在那里：2025 年财富 500 强企业平均在用智能体还不到 15 个，到 2028 年将超过 15 万个；而今天只有约 13% 的组织认为自己具备足够的智能体治理能力。Reco 发现某财富 100 客户内部有 2.1 万个无人认领的智能体。一边是认识主体的数量在指数爆炸，另一边，法律与伦理上的「责任主体」还停在人和公司这个旧框架里。这个落差，就是当下最现实的哲学问题。 认知扩张得比责任界定快 一个人做了决定，责任清楚地落在他身上。一个团队做了决定，责任落在组织上。但当决定是由一个智能体在无人盯防时做出的——比如自动批了一笔报销、自动改了合同条款、自动给客户回了一封措辞不当的信——责任该找谁？ 找搭建它的工程师？工程师已经离职。找批准采购的经理？经理不知道它今晚跑了这个分支。找公司？公司自己都不知道这个智能体存在。这就是 Reco 那 2.1 万个影子智能体的恐怖之处：它们在行动，却没有主体为行动负责。 责任的三个待补环节 要把这个真空填上，至少需要三层东西同时就位： 可追溯：每个智能体做过什么决定、基于什么数据，必须有完整日志，像病历一样可查。 有归属：每个智能体必须有一个明确的人类所有者，哪怕只是一个虚拟身份登记。 能问责：当它犯错，责任链条必须能顺着日志追溯到某个真实的人或部门。 谷歌云在其 Agent 平台里规划了 Agent Identity、Agent Registry、Agent Gateway 这些组件，方向正是给智能体发「身份证」。技术方案在跑，但制度跟进明显慢半拍。 结论 认识主体可以爆炸，但责任不能。一个系统如果只负责让智能体变多、变快、变聪明，却不负责让它们可被问责，那它制造的不是生产力，而是一片道德无人区。技术跑得快时，制度这只鞋得赶紧跟上。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：智能体与责任真空

2026 年 2 月，美国 NIST 旗下人工智能标准与创新中心（CAISI）正式启动 AI 智能体标准倡议（AASI），号称要给自主智能体的安全、互操作与身份立规矩。然而期限将至，可执行的框架仍迟迟没有落地。与标准的缓慢形成对照的，是一线现场的失控：据 Reco 等机构的数据，某财富 100 强客户在内部盘点时，竟发现约 2.1 万个自己都不认识的「未知智能体」在跑。 智能体为什么会「野蛮生长」 传统的 IT 治理假设系统是你 deliberate 部署的。智能体偏偏反着来：开发者装一个编码 Agent，分析员接一个 MCP 服务，没人登记，也没人审批。低代码工具让业务团队自己就能拖出一个智能体，而编码 Agent 还能自动生成更多 Agent，数量滚雪球。 学界把这叫 agent sprawl（智能体蔓延）。学术界梳理出的反模式包括：影子智能体（绕过 IT 治理私部）、孤儿智能体（任务早过期却还在跑、持续烧钱）、权限 creep（越权累积权限）、以及无人监控的多智能体委派链。微软 Cyber Pulse 报告称 80% 的财富 500 强已在使用活跃智能体；Gartner 更预测到 2028 年平均一家财富 500 强要跑超过 15 万个智能体，而自认治理跟得上的仅约 13%。 标准缺位意味着什么 NIST 的动作方向是对的：智能体需要可验证的身份、最小权限、可审计的委派链，甚至在研究去中心化身份与可验证凭证。但文件从征求意见到可采购条款，周期以年计。企业不能等。 OWASP 2026 年智能体应用 Top 10 给出的防守原则高度一致：给智能体最小的自主、最少的工具、最低的凭据。 判断 Agent 落地的下半场，比拼的不是模型多聪明，而是谁能管住自己造出来的智能体。任何一家正在批量上 Agent 的公司，现在最该做的不是再装一个新智能体，而是先做一次内部盘点——搞清楚到底有多少个智能体、挂在谁名下、能碰什么数据。标准可以晚到，账单和事故不会等。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：智能体标准