出品方：罗可龙的博客
背景事实
从 AutoGPT 的昙花一现，到 Devin 的惊艳亮相，再到各大公司纷纷布局的 AI Agent 产品，我们正加速奔向一个由自主智能体（Agentic AI）深度参与数字世界的未来。这些 Agent 不再是简单的聊天机器人，它们被授予了目标、工具和执行复杂多步任务的能力。然而，能力越大，风险也越发凸身。当一个 Agent 拥有了访问文件、调用 API、甚至自主花钱的能力时，如何确保它的行为安全可控，已成为悬在整个行业头顶的达摩克利斯之剑。
核心观点
目前业界主流的讨论，大多围绕着“增强护栏”、“构建沙箱”、“设计一键停止开关”等防御性思路上。但在我看来，这是一种懒惰且注定失败的治理哲学。我的核心观点是：我们必须放弃对 Agent 实现“绝对可控”的幻想，转而构建一个“拥抱摩擦、鼓励审计、强调追责”的现实主义安全框架。 与其徒劳地试图建造一个完美的笼子，不如为这头猛兽设计一套精巧的缰绳、清晰的身份烙印和不可磨灭的足迹记录。
论据支撑
首先，“绝对安全”是一个技术伪命题。 基于大语言模型的 Agent，其行为具有“涌现性”和不可完全预测性。任何试图通过预设规则或关键词过滤来限制其行为的“护栏”，都面临被“越狱”或巧妙绕过的风险。攻击面不再是传统软件的有限代码漏洞，而是 Agent 所能接触到的整个数字世界。它可以被钓鱼邮件欺骗，可以被恶意网页诱导，甚至可以因对自然语言的误解而做出灾难性决策。在一个无限开放的环境中追求有限的、静态的绝对安全，无异于刻舟求剑。我们必须承认，意外和滥用是必然会发生的，问题的关键不在于如何 100% 预防，而在于如何将其影响限制在最小，并能迅速响应和恢复。
其次，引入“经济摩擦”是比“技术围栏”更有效的约束机制。 纯粹的技术限制是脆弱的，但与现实世界资源挂钩的经济成本是强有力的。我的设想是，Agent 的每一次关键操作——无论是调用一次付费 API、执行一笔交易，还是修改一个生产环境的数据库——都应该具有明确且非零的“行动成本”。这个成本可以是金钱、计算资源配额，或是一种与声誉系统挂钩的“信用点”。一个设计精良的 Agent 系统，应该让大规模、高频率的恶意行为变得成本高昂，甚至在经济上不可行。例如，一个未经授权的 Agent 试图通过暴力尝试密码，它消耗的不仅是计算时间，更是其背后账户的真金白银。这种“摩擦力”设计，将安全问题从一个纯粹的技术攻防战，转化为一个更易于量化和管理的经济博弈。它不是阻止行动，而是让每一次行动都经过深思熟虑。
再者，安全范式必须从“事前预防”全面转向“事后审计与追责”。 既然我们无法杜绝所有错误，那么确保每一个行为都“可追溯、可审计、可归因”就变得至关重要。这意味着我们需要为 Agent 建立一套全新的基础设施。每一个 Agent 都应有唯一的、基于密码学验证的数字身份。它执行的所有关键操作，都应被记录在类似分布式账本的不可篡改日志中。当出现问题时，我们关心的不应仅仅是“发生了什么”，更重要的是“是谁做的”、“它遵循了什么决策链”、“它的行为授权来自哪里”。这就像飞机的黑匣子，它的价值不在于防止坠机，而在于让我们能从每一次事故中学习，并明确责任方。一个无法被审计的强大 Agent，对任何系统而言都是一个定时炸弹。
反驳与回应
当然，会有人提出反对意见。最常见的莫过于：“你提出的‘摩擦’和‘审计’会扼杀创新，让 Agent 变得笨重而缓慢。”
我的回应是：恰恰相反，这才是通往可持续创新的唯一路径。毫无摩擦、来无影去无踪的自动化能力，正是恐慌和监管铁拳的催化剂。适当的摩擦是一种有益的设计，它迫使开发者和用户更审慎地思考 Agent 的授权范围和任务目标。我们不需要一个能在毫秒间搞垮一家公司的“闪电侠”Agent，我们需要的是一个可靠、负责、创造价值的伙伴。此外，审计基础设施的建立，长期来看会降低信任成本，让企业和个人更放心地将重要任务托付给 Agent，这反而会极大地拓展其应用场景。
另一个可能的质疑是：“对于那些能造成不可逆转物理伤害的场景，比如控制关键基础设施，事后审计还有什么意义？”
这是一个必须严肃对待的问题。我的框架并非万能药，而是适用于绝大多数数字场景的基础哲学。对于涉及人身安全和国家安全的极端高风险领域，高强度的“事前预防”（例如，强制性的人类监督审批环节）依然是不可或缺的。但这并不否定“拥抱摩擦，强化审计”在更广泛经济社会活动中的核心价值。我们应根据风险等级，调校摩擦力的大小和审计的严格程度，而不是用极端案例来否定整个框架的有效性。
我的看法
个人认为，我们正处于定义下一代计算平台安全基石的关键时刻。继续沿用为传统软件设计的、基于边界防御的旧地图，去探索 Agentic AI 这片新大陆，注定会迷路。
我的建议是，开发者、平台方和政策制定者应共同推动建立一套面向 Agent 的身份与行为标准。我们需要协议级的创新，去定义一个 Agent 如何声明其身份、如何获得授权、其行为日志如何被标准化记录和验证。我们应该鼓励在沙箱环境中测试各种“经济摩擦”模型，找到效率与安全之间的最佳平衡点。这不只是技术问题，更是一次关乎未来数字社会治理模式的深刻变革。放弃不切实际的完美控制欲，转而在混乱中建立秩序，在开放中寻求稳健，这才是 Agentic AI 时代应有的智慧。
转载请注明出处：罗可龙的博客 | 联系邮箱：[email protected]