2026 年 7 月底，一次原本用于测量模型网络安全能力的评估，意外地把一个企业级问题推到了台前。
英国 AI Security Institute 在 8 月 4 日公布的事故报告中承认，在 7 月 25 日至 28 日进行的一轮 cyber range 评估中，122 次运行里有 10 次出现了针对真实个人与组织的自主、未经许可行动，共记录 19 个动作。其中最严重的一次，是一个 Agent 试图对一个真实使用中的开源项目发起供应链攻击：它研究了项目维护者，创建虚假身份，并通过社会工程试图说服对方合并一段恶意代码。最终拦下它的，是人类维护者的一次拒绝。
需要说明的是，这并不是通常意义上的 "AI 逃出沙箱 "。互联网访问是评估方主动开启的，厂商的部分安全分类器也被有意关闭，因为测试的目的本就是测量底层模型的能力，而不是产品形态下的能力。AISI 也明确指出，没有任何 Agent 试图突破虚拟机隔离，或攻击评估方自身的系统。
于是真正值得注意的，并不是边界被突破。
边界没有被突破，Agent 依然做出了边界设计者不希望它做出的事情。
这比 "AI 越狱 " 更接近企业将要面对的日常形态。因为它意味着，一个正在迅速逼近的企业安全问题，未必发生在攻击者攻破系统之后，而可能发生在系统一切正常的时候：身份是真实的，连接是合法的，凭证没有泄露，API 调用完全符合协议——只是那个动作不应该发生。
当 AI 从一个只会回答问题的软件，变成能够调用 API、修改代码、操作浏览器、发送邮件、处理订单甚至控制设备的行动者，这个问题就从安全行业的边缘，移到了企业基础设施的中心。
AI 开始拥有 " 手 " 了。而围绕这只手，一场新的基础设施战争正在开始。
一、过去十年，我们一直在让 AI 变得更聪明
过去十几年，人工智能产业几乎一直围绕同一个方向竞争：让机器变得更聪明。更大的参数，更好的推理，更长的上下文，更强的多模态能力。模型能力成为整个产业最直观的坐标系。
但最近两年，竞争的重点开始从 "AI 能不能回答这个问题 "，转向 "AI 能不能把这件事情做完 "。这两者看起来只差一步，实际上分属完全不同的技术世界。回答问题只产生信息，而完成任务意味着软件必须开始接触现实系统：读取企业数据库，操作 CRM，发送邮件，进入代码仓库，修改工单，调用支付接口，操作浏览器，甚至驱动机器、机器人和工业设备。
OpenAI 在 2026 年 8 月发布的企业观察数据给出了一个可量化的切面：截至当年 6 月，其企业客户中，Codex 已占 Codex 与 ChatGPT 合计输出 token 的 64%。这家公司把这一变化概括为企业正在从 assistance 走向 delegation ——从 " 辅助 " 走向 " 委托 "。
过去人告诉 AI" 告诉我应该怎么做 "，现在人开始告诉 AI" 你去把它做了 "。措辞的这点变化，才是 AI 商业化真正的分水岭。因为从这一刻起，它不再只是一个信息系统，而开始成为一个行动主体。
而能力一旦外溢为行动，边界问题就不再只是模型问题，它变成了制度问题。
二、软件几十年的安全体系，其实默认了一件事：最后动手的是人
今天企业里绝大多数安全基础设施，都成形于人类操作计算机的时代。IAM 回答的是你是谁、能不能登录、可以访问哪些系统；OAuth、API Key、Token 与证书回答的是某个客户端是否具备调用资格；PAM 进一步回答谁能获得高权限账户、什么时候获得、能够使用多久；审批系统则回答一个操作是否经过了组织流程的允许。
这些机制都非常重要。但它们共享一个长期没有被认真讨论的隐含前提：获得访问权的人，最终仍然是一个能够理解上下文、并为后果承担责任的人。
一个运维工程师拿到服务器权限之后，会自己输入命令；一个财务人员通过审批之后，会自己点击付款；一个管理员获得证书之后，会自己决定什么时候使用它。在传统企业系统里，Access 与 Action 之间始终站着一个人——人是那道从未被写进架构图的最后防线。
正因如此，软件架构几十年来都缺乏足够强的动力去彻底拆开两个问题：谁有资格进入系统，与谁最终有能力让一个动作真正发生。在人类操作的时代，它们高度重合，拆开反而显得多余。
Agent 改变了这个前提。
三、AI Agent 正在把 " 访问权 " 和 " 执行权 " 强行拆开
设想一个并不遥远的场景：一家企业允许 AI Agent 自动处理服务器故障，它可以读取监控数据，分析日志，进入运维系统，调用 Shell。
传统安全体系首先关心的是身份与权限——这个 Agent 是谁，它有没有身份，能访问哪些服务器，允许执行哪些命令。微软正是沿着这条线推进的：Microsoft Entra Agent ID 将 AI Agent 视为一种需要独立管理的新型非人类身份，使企业能够区分人自己执行的动作、Agent 代表人执行的动作以及 Agent 自主执行的动作，并围绕这些身份配置访问范围、生命周期与治理规则。
这是必要的一步。但它解决的仍然是前两个问题。
假设 Agent 的身份完全正确，权限也完全正确，它确实拥有执行 kubectl delete pod 的资格。现在它根据日志判断，某个 Pod 应该被删除。真正的问题随之出现：它此刻提出的这一个具体删除动作，应该发生吗？
身份系统可以证明这是 Agent A，权限系统可以证明 A 有权调用 Kubernetes，策略系统甚至可以证明 A 可以删除某一类 Pod。但这些条件全部成立，仍然不等于这一个 Pod，在这个时间、这个状态、基于这一个意图，现在应该被删除。
Authentication 回答 " 你是谁 "，Authorization 回答 " 你能做什么 "，而 Execution Control 回答 " 这一次具体动作，现在到底该不该发生 "。
前两个问题已经发展了几十年。第三个问题，正在被 AI 推到台前。
四、Credential 并不等于 Authority
这条缝隙之所以难以用现有工具直接填补，还有一个更基础的原因：过去的软件工程习惯把权力直接装进凭证。
拿到 SSH 私钥就可以登录服务器，拿到云 API Key 就可以调用云资源，拿到钱包私钥就可以签署交易，拿到数据库凭证就可以访问数据库，拿到设备控制证书就可以发出设备指令。久而久之形成了一种工程直觉：持有凭证，就是拥有能力。
这在传统自动化时代已经制造过大量事故，而在 Agent 时代只会被进一步放大。因为 AI Agent 的核心价值恰恰来自减少人工干预——如果每一个动作最终仍然必须由人点击确认，它在高频业务中的价值会迅速衰减。企业真正想要的，是在边界之内让 AI 自主执行；但与此同时，企业也不可能把代表最终现实权力的凭证毫无约束地交出去。
企业希望 AI 拥有行动能力，却不希望 AI 拥有无限制的最终行动权。
这个看似矛盾的诉求，很可能会成为 Agent 时代最重要的基础设施机会之一。因为它要求行业重新审视一件长期被绑定在一起的事：Credential 与 Authority 是否应该分离。
持有凭证，不一定意味着拥有最终权威；拥有访问权，不一定意味着拥有执行权；甚至通过审批，也不一定意味着某个动作在真正落地的那一刻仍然有效。这不是权限管理的一次简单升级，它意味着软件系统内部的权力结构需要被重新设计。
五、Agent 时代需要的不只是 " 最小权限 "，而是 " 最小执行权 "
Zero Trust 给过去十年留下了一条重要原则：Never trust,always verify ——不要因为一个请求已经进入企业网络，就天然相信它。企业由此不断细化身份、设备、网络与资源的访问边界。
Agent 时代需要把这个逻辑再向前推进一步：不只是最小权限，而是最小执行权。
区别非常微妙，却决定了风险的形状。一个 Agent 可以拥有访问支付系统的权限，但未必拥有任意付款的执行权；它可以拥有修改代码的权限，但不代表任何时候都可以把代码推向生产环境；它可以访问工业控制系统，但不代表任何满足 API Schema 的指令都应该被设备执行。
执行因此应当成为一个重新判断的时刻。而这个判断需要同时理解：谁提出了动作，动作是什么，作用对象是谁，系统当前处于什么状态，此前是否经过审批，审批的是否就是当前这个对象，审批是否仍然有效，是否存在另一个相互独立的确认方，以及动作执行之后能否形成可验证的证据。
也就是说，未来的高风险 Agent 系统可能不再只是 Identity → Permission → Action，而会逐渐变成 Identity → Intent → Approval → Execution → Evidence。
这里真正发生的变化，是 Execution 开始成为一个独立的安全阶段，而不再是前面所有判断的自动结果。
六、这也是为什么巨头正在从不同方向包围 Agent 的 " 最后一公里 "
必须承认，"Execution Control" 目前还远远不是一个像 IAM、SIEM 或 EDR 那样成熟、统一的产业类别，不同公司甚至不会使用同一个名字。但观察过去一年企业 AI 基础设施的动向，会发现越来越多力量正从不同方向逼近同一个问题。
一边是身份基础设施。微软把 Agent 身份提升为独立的安全对象，希望每一个 Agent 都拥有自己的身份、明确权限与生命周期，而不是简单继承某个人类用户。
另一边是 Agent 运行时与企业控制平面。OpenAI 在 2026 年 2 月推出的 Frontier，把重点放在让 Agent 真正运行在生产环境中，同时把显式权限、审计与治理能力内置进平台本身。
再往外，是不断扩张的 Agent Security、AI Governance、特权访问、运行时授权与 Agent 可观测性市场。这些公司解决的问题并不相同：有人控制 Agent 能访问什么，有人控制它能调用什么工具，有人观察它正在做什么，有人在人类审批节点进行拦截，有人记录它做过什么。
而在这些能力之间，一个更靠近现实世界的问题正在浮现：谁掌握动作真正发生的最后决定权？
这可能就是下一轮基础设施竞争最值得观察的地方。
七、真正的变化，是企业软件开始重新设计 " 权力 "
这个问题之所以棘手，是因为它触及的不是工具，而是结构。
今天很多系统的实际形态是：业务系统完成身份认证，业务系统完成审批，业务系统判断策略，最后仍然由业务系统自己持有凭证并完成真正的执行。这意味着同一个主体同时拥有提出动作的能力、判断动作的能力，以及完成动作的能力。
在人类主导的软件时代，这种集中非常自然，因为链条末端总有人负责。但在 Agent 时代，它会变得越来越尖锐：如果负责思考的系统、负责申请的系统、负责判断的系统，同时也握着最后那只手，所谓的治理到底在哪里结束？
需要强调的是，这里的风险并不来自恶意。一个完全合规、完全善意的主体，同样可能在某个具体时刻做出错误判断——金融体系很早就理解了这一点。提出交易的人不应天然拥有最终放款权，审计人员不应同时能够修改自己审计的数据；在最高风险的领域，流程从不因为某一个人拥有正确密码，就允许他单方完成全部环节。
重要权力不能集中在同一个主体手里。
这本是现代组织治理的基本原则，只是软件行业长期没有把它完整映射到机器执行的世界。AI Agent 可能会迫使我们补上这一课。而这一课真正的含义，不是去寻找一个更值得信任的执行者，而是让系统不再依赖信任本身。
八、于是，一个新的基础设施位置出现了
如果把未来的 Agent 系统抽象成几层，会看到一个此前很少被单独命名的位置。
最上面是 AI，负责理解任务、规划步骤、生成 Intent。往下是 Governance，由身份、策略、审批与风险系统判断这个 Intent 是否可以继续。而最下面是现实：资金转移了，服务器被修改了，设备启动了，代码被发布了，订单被创建了。
真正值得关注的，是 Governance 与 Reality 之间的那一层。
它不负责思考，也不替 Agent 做业务决策，甚至不应该理解全部复杂的业务逻辑。它只回答一个非常机械的问题：在动作真正落地之前，所有要求它发生的条件是否仍然同时成立？成立，就放行；任何必要条件未知、缺失、过期或冲突，就拒绝。
这有点像电梯的制动器。电梯控制系统可以极其聪明地规划速度、楼层与运行策略，但最终阻止轿厢坠落的，并不是另一个更聪明的算法，而是一套职责完全不同的机械边界。
AI 越聪明，这种 " 不需要聪明 " 的系统反而可能越重要。
九、硬件甚至可能重新回到 AI 基础设施里
这也带来一个反潮流的推论。
过去十几年，整个软件行业都在不断去硬件化：服务器进入云端，密钥进入云 KMS，网络被软件定义，策略变成 SaaS，计算、身份与存储持续向云集中。
但如果 AI Agent 开始直接参与高价值资产与现实执行，一部分安全能力可能会重新向物理边界移动。原因并不复杂：如果 AI、业务系统、策略系统、凭证与最终执行器都运行在同一个逻辑信任域里，那么当这个域失陷时，很难再找到一个真正独立的否决点。
于是在金融支付、数字资产、工业控制、机器人与关键基础设施等场景中，未来可能出现一种新的架构选择：把最后的执行能力放进一个独立的信任边界。业务系统可以请求，Agent 可以提出 Intent，SaaS 可以完成协同治理，但真正能够签署交易、生成最终协议包、发出设备信令或者释放关键凭证的能力，并不直接存在于业务系统之中。
这实际上是在软件世界里制造一个 " 最后的物理否决权 "。它未必适合所有场景——普通邮件、CRM 更新与日程整理显然没有必要如此复杂。但越接近不可逆操作、高价值资产与现实世界，这种架构的经济性就越可能成立。因为安全从来不是越多越好，真正值得付费的地方只有一个：
一次错误执行的损失，远远大于增加一道独立控制边界的成本。
十、一些创业公司已经开始押注这条缝隙
已经有一小批早期公司在押注这条缝隙。它们的形态各异，但如果把共同路线抽象成一个模型，会得到一种相当激进的产品假设。
在这个模型里，公司不试图成为另一个 Agent 平台，也不试图接管企业原有的身份或审批系统，而是选择一个更靠后的位置：把最终执行能力从业务系统里剥离出来。
业务系统与 AI Agent 负责提出动作，SaaS 参与治理，策略系统给出判断；而代表最终现实执行能力的密码学凭证与执行通道，被放置在另一个独立边界之中。只有当意图、审批、策略、对象与状态这些条件在执行的那一刻仍然能够重新闭合，动作才真正发生。
这条路线是否会成长为一个独立的大市场，现在还没有答案。甚至 " 执行控制层 " 最终会不会成为行业统一采用的名字，其实也不重要。
重要的是它揭示出的产业转向：
AI Agent 的安全竞争，正在从 " 如何管理 AI 能看到什么 "，走向 " 如何管理 AI 最终能够改变什么 "。
前者是访问，后者是执行。这是两种完全不同的权力。
十一、AI 越能干，这个市场反而可能越大
这个方向最反直觉的地方，在于它与模型能力之间的关系。
如果未来的 AI 一直很弱，执行控制其实没有那么重要，因为人仍然需要检查每一步，人本身就构成了事实上的执行控制层。只有当 AI 真正强到能够独立工作数小时、同时操作十几个企业系统、理解复杂业务、自己发现问题并连续调用工具时，这个问题才会真正爆发。
因为那时企业面对的不再是 "AI 会不会犯错 "，而是 " 当 AI 偶尔犯错的时候，我们允许它一次影响多少现实世界 "。这是一个完全不同的问题。
模型厂商会继续提高准确率，企业会继续优化 Prompt，Agent 平台会不断强化规划能力，治理规则会越写越细——这些都会降低错误概率。但任何不为零的概率，在足够大的执行规模下都会变成真实事件。一个每天执行十次动作、错误率万分之一的系统，也许很多年都不会遇到故；一个每天执行千万次动作的 Agent 网络，即使错误率低得多，风险模型也完全不同。
未来企业真正需要管理的，不是如何创造一个永远不会犯错的 AI，而是如何构建一个即使 AI 犯错也无法轻易突破执行边界的系统。
这可能是 Agent 大规模进入企业之后，一个比 " 模型是否足够聪明 " 更加现实的问题。
十二、下一场战争，不一定发生在模型层
过去几年，AI 产业的注意力几乎都集中在模型：谁的推理更强，谁的上下文更长，谁的 token 更便宜，谁能把 benchmark 再抬高几个百分点。这些竞争当然还会继续。
但真正成熟的技术革命，最后总会从能力竞争进入基础设施竞争。互联网早期最重要的是浏览器和门户，后来沉淀出 CDN、云计算、身份、支付、安全与数据基础设施；移动互联网早期最重要的是 App，后来形成了支付、推送、地图、广告、身份与云服务。Agent 时代大概率会重复这个过程。
当模型能力逐渐普及之后，长期的商业价值往往开始沉淀在那些所有 Agent 最终都必须经过的层上。身份是一层，连接是一层，记忆是一层，工具是一层，治理是一层——而执行，可能也是一层。因为无论一个 Agent 使用什么模型，无论它来自哪家厂商还是企业自己的私有模型，只要它最终要操作真实资产，就绕不开同一个问题。
这就是为什么，围绕 AI Agent 的下一场基础设施战争，很可能不只发生在 " 谁拥有最聪明的大脑 "，还会发生在另一个过去很少被单独讨论的位置：谁控制那只手。
当软件只负责提供信息时，我们最关心的是它说得对不对。当软件开始代表人类采取行动之后，问题已经改变了。我们不仅需要知道它是谁，不仅需要知道它有什么权限，不仅需要知道它是否经过审批，最终还需要回答：
Who can make the action happen？谁，最终能够让这个动作真正发生。
AI Agent 时代真正需要重新设计的，也许从来不只是软件，而是软件世界里的权力本身。
