过去两年，很多企业讨论AI的时候，最常问的是：怎么让员工用好AI？怎么用AI写文案、做分析、写代码？怎么提高效率？
但到了2026年，这个问题正在发生变化。因为AI正在从一个“回答问题的工具”，变成一个“能够自己做事的系统”。
它可以读取CRM里的客户资料，可以进入代码仓库，可以调用公司内部软件，可以运行程序、处理邮件、操作云环境，也可以把一个复杂任务拆成很多步骤，再调用其他Agent一起完成。
过去，公司使用AI的基本模式是：人提问，AI回答，人执行。
现在越来越多Agent的工作模式变成了：人给目标，AI决定步骤，调用工具，然后执行。
看起来只是多了几个动作，但从企业管理角度看，这是一个非常大的变化。
因为一旦AI开始拥有系统权限，它面对的就不再只是“答案对不对”的问题，而是：它能看什么？能改什么？能决定什么？出了问题以后，公司知不知道？
很多企业已经开始使用Agent，但管理Agent的方法，仍然停留在管理聊天工具的阶段。这可能才是接下来企业真正需要补的一课。
一、AI真正的分水岭，不是变得更聪明，而是开始拥有权限
如果一个AI只能回答问题，即使它偶尔答错，影响通常还有一个天然缓冲层。
因为最后真正采取行动的，仍然是人。员工可以检查答案、工程师可以检查代码、经理可以决定邮件发不发。
但Agent不是这样。
假设一个销售Agent可以读取CRM、查客户过去的邮件、自动生成报价，再通过邮件系统发送给客户。这时候它已经不只是“帮助销售写邮件”，它已经进入了销售流程本身。
再比如，一个研发Agent拥有代码仓库权限，可以读取代码、修改代码、运行测试、调用云服务。如果它只能提出修改建议，风险还比较有限，如果它可以自己提交代码，风险就提高了一层，如果它还能把代码直接部署到生产环境，那已经是完全不同的权限等级。
所以企业真正应该区分的，并不是：“这个部门有没有使用AI？”而是：这个AI到底获得了什么行动权限？
Anthropic今年公开过一个很有意思的说法。
他们在介绍内部Agent安全设计时提到，大约一年前，他们根本不会考虑给Claude足以影响内部重要服务的权限；现在，随着Agent能力提高，这种级别的权限已经越来越常见，因为它确实能显著提高开发人员生产力。
问题也随之改变：过去需要解决的是：AI会不会犯错？现在还要解决：AI犯错以后，最大的影响范围到底有多大？
Anthropic把它称为“blast radius”——一次错误可能波及的范围，这其实是企业Agent治理最核心的概念之一。不是假设AI永远不会犯错，而是即使它犯错，也不能让一个普通任务拥有摧毁整个系统的权限。
二、3万个Agent以后，0.002%也不再是一个小数字
Anthropic最近公开了一组很值得企业管理者看的内部数据。
截至2026年8月，在Anthropic最常使用的一套内部研究工程平台上，任何一个时刻大约有3万个AI Agent同时运行。注意，这不是Anthropic全公司的Agent总量，只是其中一套主要内部平台。
这些Agent已经大量参与研究和工程工作，而且所有动作都会经过监控。
Anthropic把监控分成两类。
一类是在线监控。Agent采取行动之前，系统实时检查；如果某个行为可能很快造成严重且难以撤销的结果，例如试图把模型权重复制出内部系统，监控系统可以直接阻止或者改变它的行动。
另一类是离线监控。Agent完成动作以后，系统继续分析完整行为记录，寻找那些不会马上造成灾难、但长期可能形成风险的异常模式。
2026年8月，Anthropic分析了这些研究和工程Agent产生的超过10亿次决策。其中大约0.002%的动作被在线监控系统阻止，相当于大约每4.7万次动作一次。
0.002%。单独看，这个数字几乎可以忽略。但放到十亿级操作量上，它就是数万次被系统拦截的动作。
这里必须特别说明：这并不意味着Anthropic发现了数万次“危险行为”。监控规则可能比较保守，也可能存在误报，被阻止的行为性质并不完全相同。
但这个数字真正说明了另外一件事：当AI运行规模足够大以后，低概率事件也会变成日常运营问题。
如果一家公司每天只有员工调用AI一百次，也许很多问题永远碰不到。但未来如果一家企业拥有几千个Agent，每个Agent每天执行几千甚至几万次操作，那么“万分之一”“十万分之一”的事件都会变得非常现实。
这也是为什么，当Agent真正进入企业以后，安全和治理不能只是一份员工使用规范，它必须成为系统基础设施。
三、企业需要回答的七个问题
对于大多数公司来说，没有必要一上来建立一套非常复杂的“AI治理委员会”，更实际的方法，是先把下面七个问题回答清楚。
- 1、这个AI能看到什么？
客户资料、财务数据、合同、源代码、员工邮件、内部知识库，并不应该默认对所有Agent开放。企业首先需要建立清楚的数据访问边界：哪些Agent能访问哪些数据，哪些信息永远不应该进入自动化工作流。真正危险的往往不是模型知道得不够，而是它看到得太多。 - 2、这个AI能自己做到什么程度？
有些Agent应该只能提出建议，有些可以填写表单，有些可以创建草稿，还有一些可以真正修改系统状态。企业必须明确区分“建议权”和“执行权”。AI能生成一笔付款申请，和AI能直接完成付款，是完全不同的两种系统。 - 3、哪些动作必须有人确认？
企业应该给高风险操作设置明确的人类审批节点。转账、删除数据、修改核心代码、改变生产环境、对外发布重要信息、发送大规模客户通知，都不应该因为Agent“通常做得很好”就自动获得无限权限。自动化程度越高，人类确认越应该集中在真正不可逆或者高影响的节点。 - 4、一个Agent调用另一个Agent以后，还能不能找到责任链？
未来一个任务可能不是一个Agent完成的。Agent A接到任务以后调用Agent B，B再调用Agent C和几个工具。如果最终出了问题，公司必须能回答：任务是谁发起的？谁做了决定？调用了什么工具？哪一步改变了数据？有没有人批准？如果这条责任链断掉，企业实际上就失去了对自动化流程的控制。 - 5、发生了什么，公司看得见吗？
没有日志，就没有真正的治理。企业至少需要知道Agent接到了什么任务、访问过哪些系统、调用过哪些工具、修改了什么、哪些动作失败了、哪些动作被拦截。日志不是为了出事以后找人背锅，而是为了发现系统性的错误模式。 - 6、模型升级以后，原来的权限还合理吗？
这是最容易被忽略的问题之一。一个Agent获得权限的时候，公司可能基于的是旧模型能力。但模型升级以后，它可能突然能够完成过去根本做不到的任务。软件权限没有变化，实际能力边界却变化了。所以重要模型升级以后，权限和工作流最好重新评估，而不是默认继承。 - 7、如果发现异常，能不能马上停下来？
很多企业想到的“停止AI”，只是把聊天窗口关掉。真正的Agent系统不是这样。企业需要能够撤销API Token、切断工具访问、暂停任务、冻结账户、隔离相关数据，必要时终止整套Agent工作流。真正重要的不只是“能不能停”，而是从发现异常到真正切断权限需要多久。
这七个问题看起来都不复杂。
但如果一家公司现在回答不了其中三四个，就说明它可能已经开始使用Agent，却还没有真正建立管理Agent的能力。
四、企业过去管理的是“人使用AI”，接下来要管理的是“AI使用系统”
这是我觉得很多企业现在还没有真正意识到的变化。
过去的AI管理，重点通常放在员工身上。例如：员工能不能把客户数据输入AI？能不能用AI处理商业机密？生成的内容需不需要人工审核？
这些问题当然还存在。
但Agent时代多了一层完全不同的问题：AI本身开始成为系统用户。它有身份，有权限，有凭证，可以调用API，可以读取数据库，可以触发其他软件，甚至可以调用其他Agent。
这意味着，企业过去用于管理员工和软件系统的一些成熟方法，需要开始延伸到AI。
比如最小权限原则：一个Agent只拥有完成当前任务真正需要的权限，而不是因为配置方便，就把整个系统开放给它。
再比如权限分层：读取和修改应该分开，生成付款申请和真正付款应该分开，修改代码和部署代码应该分开。
再比如临时权限：某些高风险权限不应该永久存在，而应该只在执行特定任务的一小段时间里开放。
以及最重要的审计：哪个公司允许人类员工进入财务系统以后，没有任何身份记录和操作日志？
如果不会这样管理员工，那为什么Agent进入同一个系统以后，反而可以没有完整记录？这其实不是一个全新的管理哲学。
很多企业已经拥有IAM身份权限管理、审批流、日志系统、异常监控、数据分级以及应急响应。真正需要做的，是把Agent纳入这些体系，而不是在旁边重新造一个完全独立的“AI管理系统”。
五、真正成熟的Agent治理，不是让所有事情都经过人工
一谈到Agent治理，很容易走向另一个极端：既然AI可能出错，那所有操作都让人审批不就行了？
这样当然最简单，但如果每一步都需要人点击确认，Agent存在的价值也就消失了。
企业真正需要设计的，不是“AI能不能自主行动”。而是：哪些事情值得自动，哪些事情必须保留人为控制。
例如，让Agent每天整理几千条公开行业信息，没有必要让员工逐条确认。让Agent自动把客户沟通记录同步到CRM，也许只需要抽样检查，但让Agent修改客户合同金额，风险等级就完全不同。让Agent生成代码，可以高度自动化，让它直接部署到影响数百万用户的生产环境，则需要不同级别的控制。
所以真正好的Agent管理，不是简单减少AI权限，而是根据业务后果配置不同的权限。
低风险、容易撤销的事情，可以自动化，高风险、不可逆的事情，需要确认。而那些企业无论如何都无法接受的事情，系统应该从技术上根本不给Agent权限。
这才是企业真正应该建立的边界。
六、Agent越多，管理Agent本身就越像一种基础设施
很多企业今天还处于Agent试验阶段。
一个部门做一个Agent，几个员工试几个自动化流程。这个阶段，公司很容易产生一种错觉：我们暂时没有遇到什么严重问题，所以风险应该不大。
但真正改变管理方式的，不一定是Agent突然变得危险，而是规模。
一个Agent一天做十件事，和一万个Agent每天执行一百万次操作，是完全不同的管理问题，这也是Anthropic那组数据真正值得企业关注的原因。
3万个Agent本身并不是重点，0.002%也不是重点。
重点是：当一个组织真的开始把大量工作交给Agent以后，它必须同时建立一套能够以机器速度运行的监督体系。
Anthropic披露，他们对这套内部平台实现了100%的在线动作监控覆盖；在线审查在Agent采取行动以前发生，而离线系统则继续检查完整活动记录，并把优先级最高的情况升级给人类处理。
这其实揭示了一个非常现实的趋势：未来公司不可能靠几个安全人员盯着几万个Agent，监督Agent本身，也必须自动化。
于是企业会逐渐形成两套自动化系统：一套负责做事，另一套负责看着第一套系统做事。
人最终不再检查每一步，而是管理规则、例外和升级事件。这可能才是未来企业AI治理真正的形态。
七、公司现在最需要的，也许不是更多Agent，而是先把四件事建立起来
如果把前面的七个问题再往下压缩，其实企业Agent治理最终就是四件事情：身份、权限、审计、响应。
Agent必须有明确身份：身份决定它是谁、代表谁执行任务。Agent必须有明确权限：权限决定它能看什么、能改什么、能调用什么。所有关键动作必须能够审计，这样公司才能知道发生了什么，以及为什么发生。
最后，公司必须拥有快速响应能力。当出现异常以后，可以马上撤销权限、停止任务和隔离影响范围。
这四件事情并不新鲜，企业过去几十年一直在用类似方法管理人、服务器和软件。真正新的地方，只是：现在企业多了一类新的系统参与者——AI Agent。
结语：企业真正需要管理的，已经不是“人怎么用AI”
过去两年，很多公司的AI战略都围绕一个问题：怎么让更多员工使用AI？接下来，这个问题还会重要，但它已经不够了。
因为AI正在从“给员工提供答案”，变成“替员工采取行动”。这时候，企业真正需要建立的就不只是AI使用规范，而是一套围绕Agent的身份、权限、审批、日志、监控和异常响应机制。
AI进入企业真正的分水岭，不是模型突然变得更聪明，而是它开始拥有权限。当AI只能回答问题的时候，它主要还是一个生产力工具。当AI开始读取系统、调用工具、修改数据和执行流程以后，它已经成为企业运营体系的一部分。
到了这个阶段，企业最大的风险之一，也许不是员工不会使用AI。而是：AI已经越来越会做事了，公司却仍然按照“一个聊天工具”来管理它。
企业过去管理的是：人怎么使用AI。接下来真正需要学会的是：AI可以替人做什么，以及做到哪一步必须停下来等人。
关于作者
我是范羡 Eva，
全球商业判断与战略顾问。
前美的集团高管｜20+年全球化实战
出海观点被国际媒体 CNA、Bloomberg 采访引用
现在主要关注三件事：
中国企业出海、AI带来的经营变化，以及35+职场人的经验重构。
我一直相信：
真正重要的，不是知道更多信息，而是形成自己的判断。
· · ·
了解更多：fanxianeva.com ｜ labatech.com.cn
#人工智能 #AIAgent #人工智能治理 #企业AI #智能体 #数字化转型 #范羡Eva #全球化