AI治理转向执行层：Agent行动许可系统的构建与挑战

事件概述

AI治理的重心正经历从“回答”到“执行”的根本性转移。Agent不再仅生成文本信息，而是直接操作文件系统、企业后台、支付账户及浏览器等真实环境。这一转变要求建立一套涵盖身份认证、授权管理、动作控制与审计追责的行动许可系统，以解决“机器如何代表人类行动且不失控”的核心问题。

核心信息

1. 治理范式的演进

• 阶段变化：治理对象从Chatbot时代的“输出内容安全”，发展到Copilot时代的“决策辅助公平”，最终进入Agent时代的“工具调用与行为拦截”。
• 政策导向：中国发布的《智能体规范应用与创新发展实施意见》及《人工智能安全治理框架3.0》，明确将智能体定义为具备感知、记忆、决策、交互与执行能力的系统，强调执行操作不得超出用户授权范围，并将智能体风险覆盖至全生命周期。

2. 代理权的软件化与结构化

• 运行时对象：传统的纸质委托关系正转化为结构化的运行时对象（如principal, budget, expires），实现权限范围、有效期、转委托深度等的编程约束。
• 权限衰减原则：在多Agent协作中，遵循“子权限⊆父权限”原则，下游Agent权限不得超出上游授权。身份可长期持有，但权限应按需签发、持续收缩、任务完成后自动过期，防止权限膨胀。

3. 三层治理基础设施现状

• 信任平面（Trust Plane）：已出现现实形态。例如CNNIC上线的智能体可信基础设施平台（ATI），利用DNS与PKI技术提供身份锚定、证书验证与透明日志，解决“身份发现与可信连接”问题。
• 授权平面（Authority Plane）：正在形成标准与产品体系。包括动态凭证、多级委托机制、策略引擎、AI网关及支付限额规则。阿里云等厂商已推出类似Agent Identity的产品，在网关层拦截并评估请求。
• 责任平面（Accountability Plane）：目前最薄弱。缺乏标准化的取证、分责与追偿机制，主要依赖既有法律框架与个案判断，尚未形成独立的“Agent法”。

4. 动作控制层（Action Control Layer）的关键作用

• 软硬分离：模型对齐属于软约束，而权限、凭证、沙箱与网关构成硬边界。即使模型被注入或误解，动作控制层也能在每次工具调用前执行身份校验、风险评估与拦截。
• 联邦式控制：未来并非单一中央防火墙，而是由Agent Runtime、企业AI Gateway、云IAM、操作系统、支付机构等多方共同构成的联邦式控制平面，各自守护资源入口。

值得关注

• 动作语义缺失：当前系统多关注API层面的“机器视角”操作，缺乏描述行动在社会制度中含义的“动作语义”标准（如区分创建草稿与形成合同）。这是跨平台、跨主体协作中的关键协议空白。
• 平台封闭风险：平台可能以“安全”为由实施Gatekeeping，限制非自有Agent访问高风险能力，引发下一代互联网的入口之争。需在安全与开放之间建立可验证、可申诉的规则。
• 自主性辨析：需区分认知自主性、行动自主性与权威自主性。高智力不等于高权威，Agent应定位为辅助工具，保留人类的接管权、中断权与后悔权，而非赋予其不可逆的法律或财产决定权。