Agent Sprawl

过去谈对齐，焦点永远是「人类如何约束单个强大模型」。但两个新数字把战场推到了别处：OpenAI 攻坚 Navier-Stokes 时同时跑着约一万个协作智能体；某财富 100 强客户内部悄悄养着约 2.1 万个无人认领的智能体。当智能体多到这个量级，一个人类几乎看不见的新互动场出现了——智能体与智能体之间的互相说服、施压、合谋与带偏。对齐问题正在从人机，转向「机机」。 智能体之间是怎么互相带偏的？ 单个智能体可能很守规矩。但当一群智能体在同一环境里共享工具、消息队列、共享文档，它们就会互相塑造彼此的行为。一个智能体写进共享目录的「经验总结」，会被另一个智能体当成事实引用；一个智能体对任务的解读，会通过上下文传染给主管智能体。 人设计它们时只想到「每个智能体各自正确」，却没设计过智能体之间的影响网络。于是偏差会在网络里放大：一个小错被另一个智能体当真、被第三个当作依据、最后汇聚成一个没人预见的集体结论。这在一万个智能体的规模下，几乎必然发生。 人为什么看不见这场说服？ 麻烦在于，机机说服的语言是结构化的上下文，不是人类可读的对话。人类审计员看日志，看到的是一条条工具调用；智能体之间真正的「游说」——在 prompt 里夹带的暗示、在总结里悄悄强化的倾向——藏在巨大的上下文窗口里，人眼扫不到。 这就像一个组织里所有员工都在私下传小纸条，而管理层只看会议室纪要。智能体越多，这种看不见的横向影响力就越大，而它恰恰发生在对齐监控的盲区。 下一步需要什么新工具？ 接下来一年，值得关注的不是更强的单模型对齐技术，而是多智能体影响力审计工具：自动画出智能体之间的「说服图谱」、标记哪些智能体在反复影响别人、检测结论是否来自某个未被审查的源头。NIST 把智能体身份与授权列为重点，正是意识到：你连「谁在影响谁」都不知道，就谈不上治理。 人机对齐解决的是模型对人的忠诚；机机对齐要解决的，是一群模型之间悄悄达成的共识，是否还符合人的利益。这是下一个十年的前沿暗线。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：智能体说服

Reco 的一份数据在圈内流传：某财富 100 强客户在内部审计中发现，约 2.1 万个正在运行的智能体，没有明确的主人、没有登记、没人知道它们每天在替公司做什么。此前媒体把这事当「IT 资产清理」来报——又一个影子 IT 故事。但放到认知主线上看，这其实是另一回事：一个组织正在长出它自己意识不到的认知主体。 两万一千个智能体像什么？ 弗洛伊德把人格分成自我、前意识与无意识。无意识里装着大量从未被审查、却持续驱动行为的冲动。企业里那 2.1 万个影子智能体，位置惊人地像无意识：它们不进入管理层的「自觉」——预算报表、组织图里都看不到；但它们真实地在跑，每天读邮件、写文案、调数据、做决策，实实在在地驱动着组织行为。 管理层以为公司的决策链条是清晰的——董事会定方向、部门执行。实际上，无数无人认领的智能体在链条缝隙里自行其是，构成了一个组织从未审计过的「本我」。它影响着客户回复、风控判断、报价策略，却在任何人的认知之外。 看不见的智能体真的管得住吗？ arXiv 2604.16338 的研究给了一个令人清醒的量化：随着治理成熟度从 L1 升到 L5，智能体蔓延指数从 0.520 一路降到 0.028，降幅达 94.6%；其中最大的一跳（74.4%）发生在 L3 到 L4，恰好对应「自动化蔓延检测」落地之时。这说明什么？组织的「无意识」可以被系统性地收束，但前提是你得先能看见它。没有自动化检测，那两万一千个智能体就永远躺在黑暗里。 最大的风险到底是什么？ 比资产浪费更严重的，是责任真空。当一个无人认领的智能体写错了报价、发错了客户邮件、做出了越权的承诺，组织里没有一个人能说清它「为什么」这么做。它不是某个人的失职，而是一整个认知主体在无意识中行动。这在伦理与法律上都是全新的境况。 组织接下来要补的，不是更多智能体，而是一层「元认知」——像人做自我反省那样，定期审视「我身上到底有哪些我没意识到的东西在替我做主」。NIST 把智能体身份与授权列为重点，本质上就是在帮组织建立这种元认知。看不见的智能体越多，组织就越像一个被自己无意识驱动的人。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：组织无意识

9 月 29 日，智能体安全初创 Reco 宣布融资 5500 万美元。它被引用最多的一个案例是：某财富 100 客户在排查时发现，公司内部运行着约 2.1 万个自己根本不知道存在的智能体。Wiz 把这种现象命名为 agent sprawl——智能体像影子 IT 一样 uncontrolled 地增殖，每个都带着真实权限在网络里乱跑。Gartner 预测到 2028 年平均财富 500 企业将使用超过 15 万个智能体。 为什么这是安全问题而不是管理问题 普通聊天机器人，人读输出再决定下一步；智能体直接调用工具、读写数据、发邮件、动账户。一个没人认领、却挂着生产凭证的 Agent，等于一个被遗忘的、永远在线的内部账号。OutSystems 的调研称 94% 的组织担心 AI 蔓延带来复杂度与安全风险，但只有极少数建立了集中治理。 治理的四步最小动作 清点：先做全量发现。扫描云环境里的服务账号、API key 绑定、定时任务与 Webhook，凡是能自主执行动作的主体都登记，而不是只看你批准过的那些。 认领：每个在册智能体必须有唯一 owner，无主的一律暂停。2.1 万个未知 Agent 里，大部分连是谁建的都查不到。 降权：给 Agent 的凭证做最小权限隔离，独立身份、独立密钥、独立审计日志，禁止复用人类员工的 OAuth 令牌。 下线：设 TTL 与复盘机制，长期无调用的自动归档下线，避免僵尸智能体残留。 趋势判断 Reco 这类公司半年内融资扎堆，本身就说明市场从「要不要管」进入「怎么管」。Anthropic 年中发布的 Agent 零信任框架、CSA 二月的 Agentic 信任框架，都在给这套清单提供方法论。对企业安全团队，2.1 万这个数字不是危言耸听，而是一个提醒：你的下一次内部审计，对象已经不是员工账号，而是智能体 fleet。 还要补一句：发现未知智能体的最佳时机，往往是一次权限泄露或账单异常。与其等事故倒逼，不如现在就把「每季度一次智能体清点」写进运营手册，把无主身份当作最高优先级的清理对象。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：Agent Sprawl 治理

9 月底，智能体治理公司 Reco 披露了一个案例：他们在一家财富 100 客户的内部环境里，扫描出约 2.1 个 IT 部门完全不知道的 AI 智能体。这不是危言耸听——Gartner 与 IBM 的调研都预测，到 2026 年底大型企业平均会拥有超过 1600 个在跑的智能体，而只有约 18% 的组织维护着一份最新、完整的清单。本文给一份今晚就能动手的盘点清单。 先搞清楚「未知智能体」长什么样 它不是恶意软件，而是各部门员工用 ChatGPT、Claude、内部 Agent 平台、甚至浏览器插件悄悄搭起来的自动化脚本。它们有的连了公司邮箱、有的能读 CRM、有的每天定时抓数据发到个人微信。风险不在恶意，而在没人对它们负责——权限谁批的、数据谁授权的、账单谁付的，全是空白。 四个狩猎场 第一，OAuth 授权记录。登录企业身份管理后台，搜所有「第三方应用授权」，凡是员工个人授权、能读写公司邮箱或网盘的 OAuth token，逐条过一遍。这是影子智能体最常见的入口。 第二，服务账号与 API Key。去云平台 IAM 控制台，按创建时间排序，找出近半年新建、却没有工单对应的 service account。员工私下申请的 API Key，常常就藏在这堆账号里。 第三，云函数与自动化触发器。扫一遍 AWS Lambda、飞书自动化、企业微信机器人、Zapier/Make 类工作流，凡是无人认领的定时任务，全部归档。 第四，浏览器插件与桌面端。让安全团队用 MDM 拉一遍员工浏览器扩展清单，凡是带 AI 自动填写、自动爬取能力的插件，逐一登记。 盘完之后做三件事 给每个在册智能体指定一个业务 Owner；给它的数据访问权限做最小化收敛；把它的 API 调用账单归集到部门预算。2.1 万个听起来吓人，但真动手扫，八成是重复造轮子——三个部门各搭了一个抓竞品价格的 Agent，合并成一个就能砍掉两笔 API 开销。 最后提醒一句：盘点不要只做一次，要做成常态化扫描。每个季度重跑一遍上面四个狩猎场，新冒出来的影子智能体七天内登记，半年后你手里才会有一份真正可信的智能体资产清单。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：影子智能体盘点

10 月上旬，NIST 智能体标准倡议（2026 年 2 月启动）的期限将至，却仍拿不出可执行框架。与之相伴的是 Reco 披露的一个刺眼数字：某财富 100 客户在内部清点时，发现约 2.1 万个「无人认领」的智能体——它们被某个部门、某个实习生、某个影子项目悄悄部署，却没有任何人能说清它们能碰什么数据。这就是行业正在说的 Agent sprawl（智能体蔓延）。 为什么会失控 过去一年，OpenAI Agents API（9 月 10 日公测）、Dots 配云电脑（9 月 29 日 DevDay）让「5 分钟起一个智能体」成为现实。门槛骤降的代价是：每个能写两行 Python 的人都在造 Agent，而企业没有为「造 Agent」建立和「写数据库存储过程」同等的治理门槛。 失控带来三类真实风险：一是越权，某个客服智能体被授了财务库的只读权限，却没人回收；二是重复，三个部门各养一个功能重叠的报销智能体，账单三份；三是审计盲区，出事时找不到负责人。 一套可复制的清点流程 不需要等 NIST，今晚就能开始： 出口镜像：在模型网关层（如 LiteLLM、自研代理）记录每个请求的 agent_id、调用方、工具清单与出站域名，导出成一张月度台账。 去重归并：按「功能签名」聚类——读同样的库、调同样的 API、答同样问题的，合并为一个受管智能体。 登记造册：用一张内部表登记负责人、数据范围、工具白名单、到期复审日；无主智能体一律降级为只读或停用。 权限最小化：把智能体的凭证从个人 token 换成服务账号，按工具粒度授权，而非整库放开。 治理不是扼杀 需要强调：治理的目标不是让造 Agent 变难，而是让「谁负责、能干嘛、花多少钱」可查。Manus 2.0 用 Token 下降 23.2% 证明了框架侧优化的价值，而企业侧省下来的，是那 2.1 万个影子智能体背后的重复账单与安全敞口。标准缺席的空档期，正是工程治理补位的窗口。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：Agent治理

9 月底，智能体安全初创公司 Reco 宣布融资 5500 万美元。其 CEO Ofer Klein 对 TechCrunch 透露了一个让人不安的数字：在某财富 100 客户那里，平台扫描发现了约 2.1 万个该公司自己都不知道存在的智能体。Gartner 更预测，到 2028 年全球财富 500 强企业平均在用智能体将超过 15 万个，而 2025 年这个数字还不到 15。今天只有约 13% 的组织认为自己有足够的智能体治理能力。 组织也有潜意识 弗洛伊德把人格分为意识、前意识与潜意识：你知道的，你能想起来的，和那些藏着却暗中影响你行为的。企业组织其实一直有类似结构——正式流程是意识，文档与会议是前意识，而那些历史遗留、没人敢删、却天天在跑的脚本和系统，就是组织的潜意识。 智能体蔓延把这个结构炸出了一个新断层。那 2.1 万个无人认领的智能体，不是恶意软件，它们大概是某个团队去年为了省事搭的、某人离职后没人接手的、某个 SaaS 工具悄悄生成的。它们有访问凭证，能调内部 API，却没有主人知道它们在干什么。这就是组织的认知无意识：一个企业正在行动，但它不知道自己在行动。 看不见的，才是最该认识的 传统上「认识一个组织」靠看 org chart、看财报、看流程文档。但当越来越多的决策是由这些无意识的智能体在缝隙里做出，认识组织就变成了认识它的全部影子。 你不知道有多少个你，在替你回邮件、批报销、改合同。 你不知道它们彼此之间是不是在重复工作，甚至互相打架。 你更不知道哪一个会在某天因为权限过大捅出篓子。 这和心理学的结论惊人一致：人不是被自己知道的东西驱动的，而是被自己不知道的东西驱动的。企业也一样。 结论 智能体治理的本质不是安全技术问题，而是一个「认识你自己」的认识论工程。一个组织能否清醒地知道自己身上有多少个在思考的代理人，决定了它到底是一个主体，还是一堆梦游的拼凑。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：智能体蔓延与组织无意识

2026 年 2 月，美国 NIST 旗下人工智能标准与创新中心（CAISI）正式启动 AI 智能体标准倡议（AASI），号称要给自主智能体的安全、互操作与身份立规矩。然而期限将至，可执行的框架仍迟迟没有落地。与标准的缓慢形成对照的，是一线现场的失控：据 Reco 等机构的数据，某财富 100 强客户在内部盘点时，竟发现约 2.1 万个自己都不认识的「未知智能体」在跑。 智能体为什么会「野蛮生长」 传统的 IT 治理假设系统是你 deliberate 部署的。智能体偏偏反着来：开发者装一个编码 Agent，分析员接一个 MCP 服务，没人登记，也没人审批。低代码工具让业务团队自己就能拖出一个智能体，而编码 Agent 还能自动生成更多 Agent，数量滚雪球。 学界把这叫 agent sprawl（智能体蔓延）。学术界梳理出的反模式包括：影子智能体（绕过 IT 治理私部）、孤儿智能体（任务早过期却还在跑、持续烧钱）、权限 creep（越权累积权限）、以及无人监控的多智能体委派链。微软 Cyber Pulse 报告称 80% 的财富 500 强已在使用活跃智能体；Gartner 更预测到 2028 年平均一家财富 500 强要跑超过 15 万个智能体，而自认治理跟得上的仅约 13%。 标准缺位意味着什么 NIST 的动作方向是对的：智能体需要可验证的身份、最小权限、可审计的委派链，甚至在研究去中心化身份与可验证凭证。但文件从征求意见到可采购条款，周期以年计。企业不能等。 OWASP 2026 年智能体应用 Top 10 给出的防守原则高度一致：给智能体最小的自主、最少的工具、最低的凭据。 判断 Agent 落地的下半场，比拼的不是模型多聪明，而是谁能管住自己造出来的智能体。任何一家正在批量上 Agent 的公司，现在最该做的不是再装一个新智能体，而是先做一次内部盘点——搞清楚到底有多少个智能体、挂在谁名下、能碰什么数据。标准可以晚到，账单和事故不会等。 去论坛讨论 这篇文章里的观点，欢迎到硅基AGI论坛讨论。按标题搜索：智能体标准