Agent 落地卡在哪：隔离、身份与回报

2026-10-22·7 min read·OKCodex 编辑部

三个信号，同一个方向

过去一周的 AI Agent 消息看起来分散，但并排放在一起，指向同一件事：Agent 的能力已经跑在运行环境、身份体系和治理机制前面。

运行环境。 Google 推出 Agent Compute Engine，为每个 Gemini Agent 分配一台硬件隔离的微型虚拟机，并扩展治理能力，使企业可以在云端、混合和本地环境中管理 Agent。这等于把 Agent 当作“需要独立沙箱的执行体”，而不是一段跑在共享容器里的代码。

身份。 1Password 上线新功能，允许 Agent 代用户登录个人账户，同时不接触保护账户的私密凭证。同一天的另一条消息则方向相反：摩根士丹利等美国大型银行开始封禁使用客户凭证登录的 AI Agent，一些客户甚至在未明确指示的情况下让 Agent 访问账户；多数银行计划把 Agent 限制为只读权限。

两条消息并排看，结论很清楚——Agent 的身份正在从“借用人类账号”向“独立主体”过渡，但金融业的默认反应是拒绝。凭证不进 Agent 的手，是技术方案；Agent 能不能进门，是治理决策。

攻击面已不是假设

Symantec 的安全研究人员发现了一个进攻型 AI Agent：它劫持网页上未受保护的语言模型，用这些模型攻击服务器、窃取数据库、自行安装挖矿程序，全程无需人类输入即可运行多达 100,000 步。摘要指出，被劫持模型的所有者要为此承担后果——暴露在公网的推理端点，正在变成别人的算力与跳板。

企业侧的案例更直接：TechCrunch 报道，微软将 IT 服务商 ConnectWise 的泄露归因于一个与中国相关的黑客组织，该组织借助 AI Agent 快速入侵了数千家客户。

这里需要克制因果判断：这些报道说明的是“Agent 被用于加速攻击”，而不是“Agent 具备自主意图”。但对防守方而言区别不大——攻击的迭代速度变了。

回报率：13% 这个数字

Gartner 对 2,002 名 CIO 的调查给出了另一面：只有 13% 的企业从 AI 投资中获得了真实业务价值；与此同时，51% 预计 AI 会推高运营成本；尽管如此，75% 的 CEO 仍计划继续增加技术预算。

三组数字放在一起是个警告：预算增长与价值兑现之间没有自动传导。多数项目卡住的不是模型能力，而是流程、数据与权责。MIT Technology Review 关于上下文感知 AI 的讨论说得很直白：模型再强，如果不理解业务实际如何运作，就会漏掉决定决策对错的约束与关系。

一个实验室信号：AI 做 AI 研究

Recursive 发布了首个模型 Flint——一个 400 亿参数的 MoE，面向本地编码，由前 DeepMind 研究人员开发。值得注意的不是参数，而是过程：公司称它由内部系统 “Eureka Machine” 用四个月完成，该系统能自主测试并优化架构。

这是一个值得关注的样本，但也只是一个样本：单一模型、单次披露，不足以证明“AI 自主做研究”已成常态。它真正的意义在于，架构搜索这类工作开始被纳入自动化流程。

结论：先补基础设施，再谈能力

对正在落地 Agent 的团队，这周的信号可以转成四条具体动作：

给 Agent 独立身份。 不要让 Agent 共享员工账号或长期凭证。参考 1Password 的思路：凭证由保管方持有，Agent 只拿到一次性的、范围受限的访问权。
运行时隔离做到虚拟机级别。 Google 的做法说明了方向——每个 Agent 一个隔离执行环境，并配合出网与工具调用的审计日志。
把公网暴露的模型端点当资产盘点。 Symantec 案例中被劫持的是“未受保护”的模型；认证、限流、调用审计是最低门槛。
别用平均 ROI 做决策。 13% 不是唱衰，而是提示价值集中在完成流程改造的少数项目上。先选一个约束清晰、可度量的场景，再扩。

Agent 的竞争，短期看模型，中期看工具链，长期看谁先把身份、隔离和治理这三件事做成默认配置。