AI 智能体究竟是什么，以及大多数被贴上智能体标签的产品并不是什么
从与治理和风险相关的精确技术含义上讲，AI 智能体是一种能够感知环境、围绕目标进行推理、规划行动、通过外部工具或系统执行这些行动，并根据结果调整自身行为的 AI 系统，其运行过程中人工监督有限或完全缺位。其决定性特征是自主的目标追求。智能体无需被明确告知，就能决定下一步该做什么。
这与商业营销中经常与 AI 智能体混为一谈的三种相邻技术存在实质性区别：
生成式 AI 助手对提示做出响应。聊天机器人或副驾（copilot）会根据请求生成内容，然后停下来。它不会在多次交互之间维持持续的目标。它不会在外部系统中采取自主行动。它增强人类员工的能力，而不取代人类的决策。
机器人流程自动化（RPA）遵循脚本化的规则。RPA 机器人执行一套确定性的步骤序列：打开这个应用程序、复制这个字段、粘贴到那里、提交。RPA 是自动化的，但不具备适应性。当输入以意料之外的方式发生变化时，RPA 机器人通常会直接失败，而不会推理替代方案。
多智能体系统属于另一个更为先进的类别。AI 智能体通常是一个配备了工具、用于执行端到端任务的单一模型。而作为一种系统架构的智能体 AI，往往由多个相互协调、分派子任务并追求更宏大的复合目标的智能体组成。加州大学伯克利分校长期网络安全中心在其 2026 年 2 月的《智能体 AI 风险管理标准框架》中明确了这一区分，而这一区分对治理至关重要：对单一智能体的监督与对多智能体的监督在性质上截然不同。
市场的现实是，这种技术上的清晰界定十分罕见。Gartner 已正式识别出“智能体洗白”（agent washing）这一做法，即在不具备真正智能体能力的情况下，将较老旧的聊天机器人、助手和 RPA 工具重新包装为智能体 AI，并估计在数以千计自称为智能体 AI 的供应商中，仅约 130 家在实践中真正提供了这种能力。对大多数组织而言，第一个切实可行的治理步骤并不是制定 AI 智能体战略，而是确定组织内部已经部署、并被冠以“AI 智能体”标签的系统中，究竟哪些真正符合技术定义。
采用是真实的，但其步伐已大幅超越治理
多个一手资料的数据点都指向同一个结论：AI 智能体正在以企业规模进入生产环境，而治理未能跟上步伐。
Gartner 于 2025 年 6 月发布的新闻稿，基于 2025 年 1 月对 3,412 名网络研讨会与会者的调查发现，19% 的组织已对智能体 AI 进行了大规模投资，42% 进行了保守投资，8% 未作任何投资，31% 持观望态度或尚不确定。根据 Gartner 自身的前瞻预测，到 2028 年，至少 15% 的日常工作决策将通过智能体 AI 自主做出（较 2024 年的 0% 有所上升），并且到 2028 年将有 33% 的企业软件应用包含智能体 AI（较 2024 年不足 1% 有所上升）。
Gartner 在同一份新闻稿中给出了其被引用最多的预测：由于成本攀升、商业价值不明或风险控制不足，到 2027 年底将有超过 40% 的智能体 AI 项目被取消。高级总监分析师 Anushree Verma 表示，大多数智能体 AI 项目都是处于早期阶段的概念验证，更多由炒作而非实质驱动，且常常被误用，这掩盖了将生产部署规模化的真实成本与复杂性。
治理鸿沟并非纸上谈兵。德勤（Deloitte）的《2026 年企业 AI 现状》（State of AI in the Enterprise 2026）报告发现，只有五分之一的公司具备成熟的自主 AI 智能体治理模式。这种滞后是结构性的：各组织将智能体部署到生产环境的速度，快于其构建治理这些智能体所需的清单、监控、身份与问责基础设施的速度。
为什么 AI 智能体风险在结构上不同于其他 AI 风险
大多数企业 AI 治理框架，包括作为基础的 NIST AI 风险管理框架（AI RMF）及其 2024 年 7 月的《生成式 AI 框架》（NIST AI 600-1），都是为这样一个世界设计的：AI 系统做出预测或生成内容，供人类审查。AI 智能体以五种具体方式改变了风险的拓扑结构，合规、风险与审计职能需要理解这些变化。
具有外部影响的自主行动。一个推荐信贷决策的预测模型，与一个批准信贷、将决策传达给客户、更新核心银行系统并安排资金拨付的智能体，属于不同的风险类别。前者需要偏见与准确性控制。后者除了需要这些控制之外，还需要回滚程序、行动层级的授权、对每一项自主决策的审计日志记录，以及一套用于中止或撤销执行中行动的明确流程。
加州大学伯克利分校长期网络安全中心在其 2026 年 2 月发布的《智能体 AI 风险管理标准框架》中，将这一类风险界定为包括：非预期的目标追求、未经授权的权限提升、资源获取，以及自我复制或抵抗关停等可能造成系统性危害的行为。之所以采用如此强烈的表述，是因为这些失效模式在性质上与静态模型截然不同。
为人类而构建的身份与访问管理。企业身份系统，包括单点登录、基于角色的访问控制、特权访问管理，其设计所围绕的假设是：请求访问的行为主体是使用其独自持有的凭证进行身份验证的人类。AI 智能体打破了这一假设。一个以用户身份、使用该用户凭证行事的智能体，可能会采取用户并未授权的行动。一个持有系统级服务凭证的智能体，实际上拥有超级用户级别的访问权限，却不受人类特权访问所要求的任何人工控制（审批流程、理由说明、有时限的权限提升）的约束。
澳大利亚审慎监管局（APRA）在其 2026 年 4 月 30 日发布的关于人工智能的行业公开信中直接点明了这一缺口：身份与访问管理尚未适应 AI 智能体这类非人类行为主体。APRA 是在 2025 年末对选定的澳大利亚大型银行、保险公司和养老金受托人开展有针对性的监管接触时得出这一发现的。澳大利亚审慎监管机构选择以平实的语言公开这一观察，这一事实本身就表明，它如今已可在监管审查中加以检验。
沿委托链的级联失效。多智能体系统会放大错误。一个错误计算了参数并将错误输入传递给下游智能体的智能体，可能在任何人有条件介入之前，就引发一连串不断累积的错误。在智能体系统中，人工监督的时间窗口急剧收缩：失效可能在毫秒之间传播，而大多数企业中的人在回路（human-in-the-loop）控制架构所设想的响应时间是数分钟到数小时。
概率性与非确定性行为。传统的变更管理与保障流程都假定存在一个稳定的产物。系统一经测试并发布，其行为在下一次发布之前都保持一致。AI 智能体则不然。同一个智能体，在给定相同输入的情况下，在不同的运行中可能产生不同的输出。模型漂移、依赖上下文的推理，以及系统提示的影响，都意味着单一时点的保障是不够的。APRA 2026 年 4 月的公开信在这一点上表述得很具体：它观察到有关方面依赖单一时点、基于抽样的保障方法，而这些方法并不适用于会随时间学习和漂移的概率性模型。
新型攻击面。AI 智能体引入了传统信息安全控制在设计时并未考虑检测的攻击路径。APRA 的公开信明确点名：提示注入（prompt injection）、数据泄露、不安全的集成、漏洞利用注入（exploit injection），以及对自主 AI 智能体的操纵或滥用。Web 应用防火墙无法捕捉提示注入。传统的渗透测试不会评估智能体的工具使用攻击面。在 2024 年保护环境的安全测试方案，对于 2026 年智能体增强的环境而言，在结构上已不敷使用。
专门针对 AI 智能体的全球监管格局
目前尚无任何主要司法辖区制定了专门针对 AI 智能体的立法。监管机构转而将现有框架，包括 AI 立法、行业审慎标准、隐私法、消费者保护法，适用于智能体系统，同时制定补充性指引。
欧盟：欧盟人工智能法案。《欧盟人工智能法案》（EU AI Act）并未包含“AI 智能体”的定义，也未为智能体设立单独的监管类别。凡符合该法案对 AI 系统之定义、且落入附件三（就业、信贷、生物识别、教育、执法、关键基础设施、基本服务）范围内，或依附件一嵌入受监管产品中的 AI 系统，无论是否属于智能体，都须承担高风险义务。随着 2026 年 5 月 7 日就《AI 数字综合一揽子法案》（Digital Omnibus on AI）达成临时一致，附件三的高风险义务自 2027 年 12 月 2 日起适用，附件一的嵌入式系统义务自 2028 年 8 月 2 日起适用。第 50 条项下的透明度义务，包括告知用户其正在与 AI 系统交互的要求，自 2026 年 8 月 2 日起适用，且未被该综合法案延期。对于欧盟境内面向消费者的 AI 智能体而言，第 50 条的透明度义务是最迫近的合规触发点。
《欧盟人工智能法案》第 50 条至第 55 条中关于通用人工智能（GPAI）模型的义务，适用于上游模型提供者，而非智能体的部署者。然而，在第三方基础模型之上构建智能体的组织应当意识到，底层模型的系统性风险分级，以及模型提供者在评估、对抗性测试和严重事件报告方面的义务，都会影响下游的智能体风险。
美国：NIST。美国国家标准与技术研究院（NIST）通过其人工智能标准与创新中心（CAISI），于 2026 年 1 月 8 日在《联邦公报》上发布了关于 AI 智能体系统安全性的信息征询，意见征询于 2026 年 3 月 9 日结束。该信息征询将 AI 智能体系统界定为能够采取行动、在智能体自身之外产生持久性变更的系统，并明确指出：未经编排以自主行动的检索增强生成系统，以及聊天机器人，均不在其范围之内。该信息征询是迄今为止美国政府就治理目的上何谓 AI 智能体所作的最权威表述。
NIST AI RMF《生成式 AI 框架》（NIST AI 600-1）于 2024 年 7 月 26 日发布，针对生成式 AI 风险，但并未直接涉及智能体的自主性。面向特定行业的框架正在涌现，NIST 于 2026 年 4 月 7 日发布了一份关于《关键基础设施中可信 AI 的 AI RMF 框架》的概念说明。走在 NIST 官方框架之前的从业者已制定出伯克利长期网络安全中心的《智能体 AI 风险管理标准框架》（2026 年 2 月）以及云安全联盟（Cloud Security Alliance）的《智能体 AI NIST AI RMF 框架》，两者都将 NIST AI RMF 的四项职能（治理、映射、度量、管理）应用于智能体系统。
经合组织（OECD）。经合组织 AI 政策观察站（OECD AI Policy Observatory）追踪各国 AI 政策，并维护《可信 AI 工具与指标目录》（Catalogue of Tools and Metrics for Trustworthy AI）。经合组织 AI 原则于 2024 年更新，适用于所有 AI 系统，但尚未包含专门针对智能体的条款。
澳大利亚：最为完善的 AI 智能体治理实务框架
澳大利亚尚未制定可与《欧盟人工智能法案》相提并论的 AI 专门立法。澳大利亚政府的做法，如其 2025 年 12 月 2 日发布的《国家 AI 计划》所阐明，是借助现有的技术中立法律，包括隐私法、消费者法、工作健康与安全法、反歧视法、行业审慎标准，并辅以指引和自愿性标准。这有时被形容为一种弱点，但更准确的说法是，这是一种将大量可操作指引置于立法之前的有意选择。
APRA 关于 AI 的行业公开信，2026 年 4 月 30 日。这封由 APRA 执行董事会成员 Therese McCarthy Hockey 签发的公开信，是 2026 年澳大利亚金融服务业最具影响力的 AI 专门监管沟通文件。APRA 基于 2025 年末对选定的大型银行、保险公司和养老金受托人开展的有针对性监管接触，围绕四个观察领域提出了具体期望：治理，网络与信息安全，供应商风险，以及变更管理与保障。
APRA 关于智能体的主要观察与期望：
- 董事会仍在培养对 AI 风险进行有效质询所需的技术素养，存在“过度依赖供应商演示与摘要”的情况。APRA 明确表述的最低期望是：董事会必须具备足够的 AI 素养，以设定战略方向并提供有意义的质询和监督。
- 所要求的治理安排至少应包括：各类框架（政策、标准、指引）与汇报路线；贯穿 AI 全生命周期的归属与问责；AI 工具与用例的清单；针对高风险决策的人工参与与问责；以及对员工的培训与教育。
- 具体的网络与信息安全期望：强有力的特权访问管理；及时的补丁修复；加固的配置；自动化的漏洞发现；渗透测试；以及“对智能体式及自主工作流的控制”。
- 供应商风险：梳理并持续掌握整个 AI 供应链的可见性，包括重大的第三方和第四方依赖关系。当机构在多个 AI 用例上严重依赖单一提供者时，集中度风险即被标记出来。
- 变更管理与保障：持续验证；覆盖网络安全、数据治理、模型风险、运营韧性、隐私与行为操守的一体化保障；以及具备相应技术能力，能够“独立评估包括概率性模型和智能体工作流在内的 AI 系统”的第二道防线风险职能与内部审计职能。
APRA 的监管抓手是现有的审慎框架：CPS 220（风险管理）、CPS 230（运营风险管理，包括运营韧性）、CPS 234（信息安全）和 CPS 510（治理）。APRA 并未宣布新的审慎标准。2026 年 4 月的公开信释放出的信号是：AI 治理如今将在机构审慎审查和专题活动中，对照这些现有标准接受检验。
ASIC 公开信，2026 年 5 月 8 日。澳大利亚证券和投资委员会（ASIC）于 2026 年 5 月 8 日发布了一封与 APRA 相呼应的公开信，其适用范围更广，不限于受 APRA 监管的机构。ASIC 期望董事会和高级管理人员了解组织所处的状况，提出正确的问题，并确认网络韧性与所面临的威胁环境相称。这封信建立在 ASIC 于 2024 年 10 月发布的关于 AI 治理安排的 REP 798《当心鸿沟》（Beware the Gap）报告基础之上，该报告早在智能体 AI 成为重大关切之前，就已识别出整个金融服务业存在的治理鸿沟。
DTA《政府负责任使用 AI 政策》。数字化转型局（DTA）的《政府负责任使用 AI 政策》于 2024 年 9 月 1 日生效，此后已更新至 2.0 版。DTA 已构建起在所有英语国家政府中最为全面的 AI 治理实务套件，包括：
- 《2025 年澳大利亚公共服务部门 AI 计划》，为澳大利亚公共服务部门（APS）的 AI 采用设定路线图。
- 《政府使用人工智能技术标准》，为 AI 系统在从初始设计到监控和退役的整个生命周期内设定技术要求。
- 《AI 影响评估工具》及配套指引，帮助各机构对照澳大利亚 AI 伦理原则，识别、评估并管理 AI 用例的影响与风险。
- 《政府 AI 采购指引》。
- 《AI 保障框架（试点）》（自 2024 年 9 月起试点），为 APS 用例确立 AI 保障方法。
- AI 审查委员会，就 APS 范围内的高风险 AI 用例提供咨询意见，其职权范围正在最终确定，更多细节预计将于 2026 年第一季度公布。
DTA 框架并非法律，也不适用于 APS 之外。然而，《AI 影响评估工具》和《AI 技术标准》被私营部门组织作为切实可行的实施参考加以引用和使用，且 DTA 的做法与工业、科学与资源部（Department of Industry, Science and Resources）发布的《自愿性 AI 安全标准》保持一致。
《政府 AI 保障国家框架》。数据与数字部长会议（Data and Digital Ministers Meeting）于 2024 年 6 月 21 日商定并发布了《政府 AI 保障国家框架》。它为联邦、州和领地各级政府将澳大利亚 AI 伦理原则应用于其 AI 保障工作确立了基石与实践。
《隐私法》修正案，自动化决策透明度。《2024 年隐私及其他立法修正案》（Privacy and Other Legislation Amendment Act 2024）引入了新的自动化决策（ADM）透明度义务，自 2026 年 12 月 10 日起生效。自该日起，澳大利亚隐私原则（APP）实体将被要求在其隐私政策中，纳入有关在对个人具有法律效力或类似重大影响的实质性自动化决策中所使用的个人信息种类的说明。做出此类决策或对此类决策有实质性贡献的 AI 智能体，明确处于适用范围之内。预计澳大利亚信息专员办公室（OAIC）将在 2026 年 12 月生效之前发布详细指引。
实务落地：如何将 AI 智能体 GRC 付诸运营
监管期望与运营现实之间存在巨大差距。大多数组织需要按大致的优先顺序做好以下六件事。
1. 建立 AI 智能体清单与分类。每一个部署到生产环境的 AI 智能体，包括 SaaS 工具中的嵌入式智能体、生产力套件中的副驾以及影子 IT，都应纳入清单并登记：负责人（具名个人）、用途、所访问的数据、所操作的系统、自主程度、业务关键性以及风险分级。这是其他一切工作的前提。APRA 在其 2026 年 4 月的公开信中明确将缺乏 AI 清单列为一项发现。
2. 按自主程度对智能体分类。并非所有智能体都需要相同的控制。一种实用的分类是：（a）建议型智能体，推荐行动供人类批准；（b）战术型智能体，在严格限定的参数范围内执行预先批准的行动；（c）操作型智能体，在多步骤工作流中追求既定目标，并设有定期的人工检查点；（d）自主型智能体，在极少人工监督下持续运行。这一分类决定了相应的身份模型、人在回路控制、监控强度以及回滚架构。
3. 将智能体视为非人类身份。每个智能体都应拥有自己的身份，与任何人类用户的身份相区分。该身份应受制于：限定范围的权限（最小权限）、有时限的凭证、可记录的行动、出于审计目的将智能体身份与人类身份相分离，以及可撤销能力。以用户凭证行事的智能体应属例外，而非常态，且应告知用户并取得其同意。
4. 构建持续保障层。单一时点的测试是不够的。面向智能体的保障层需要持续验证：行为监控、漂移检测、输出抽样与审查、对已采取行动的异常检测，以及与安全运营中心的集成。这正是 APRA 所说的持续验证：及时检测模型漂移、偏见、失效模式或控制失灵，以便采取行动。
5. 定义回滚与紧急停止（kill-switch）架构。每一个投入生产的智能体都应具备一套有文档记录、经过测试的流程，用于：中止执行中的智能体；撤销或补偿已采取的行动；将智能体与其已访问的系统隔离；以及重建智能体介入之前的状态。Writer 2026 年企业 AI 调查发现，35% 的高管承认，他们无法立即对失控的 AI 智能体“拔掉电源”。这是一个根本性的控制缺口。
6. 更新董事会治理。在任何将智能体部署于面向客户、受监管或高影响流程的组织中，AI 智能体风险都是董事会层面的事项。董事会层面的控制包括：明确指定一名对 AI 智能体风险负责的高管（视组织情况而定，通常是首席风险官、首席技术官或首席信息安全官）；就 AI 智能体清单和事件管道进行定期汇报；为董事提供独立于供应商的 AI 素养培训；以及在第三方风险审查中明确考量 AI 智能体的集中度风险。
战略影响：AI 智能体如何改变组织
除了眼前的合规工作之外，AI 智能体还带来了二阶战略效应，这些效应在 2026 年更容易被识别，却更难被规划应对。有三点值得指出。
第一，竞争的单元从流程转向结果。当智能体能够自主执行多步骤工作流时，组织的竞争地位就不再那么取决于是否已将该工作流形成文档，而更取决于结果是否达成。这使得结果度量，以及能够将结果归因于特定行动的数据基础设施，变得尤为宝贵。
第二，组织设计发生变化。那些主要职能为编排的中层管理层级，包括任务分配、工作交接、状态汇报、异常上报，在智能体承担这些职能之处，就在结构上变得多余。这与“AI 将取代知识工作者”的说法不同，后者仍存争议，且在很大程度上属于臆测。这里的说法更为狭义，也更站得住脚：成功部署智能体的组织，将以更扁平的协调结构运作，因为协调成本下降了。
第三，供应商集中度风险变得具有系统性。随着微软（Microsoft）、谷歌（Google）、OpenAI、Anthropic 以及少数其他厂商将智能体能力深植于生产力工具之中，单个组织的依赖图景与十年前的云依赖颇为相似，但转换成本要高得多。APRA 的公开信明确点出了这一点：“一些机构在多个 AI 用例上严重依赖单一提供者。”有文档记录的应急预案、退出策略和替代测试，已不再是可选项。
接下来该做什么
对于起点较低的组织而言，有三项行动可在未来 90 天内完成，并将实质性地改善治理状况。
第一：完成 AI 智能体清单。将生产环境中每一个符合智能体定义的系统编入目录，包括嵌入式 SaaS 智能体。为每一个指定一名负责的责任人。这一份产物，正是 APRA、ASIC 以及大多数其他监管机构如今所要求的。
第二：按自主程度和业务关键性对清单进行分类，识别出运行在“每项行动均需人工批准”门槛之上的智能体。这些正是最需要关注的系统。
第三：评估关键性最高的智能体的紧急停止与回滚能力。如果对“我们能否立即中止这个智能体并撤销它已经做过的事？”这一问题的回答不是一个笃定的“是”，那么这就是首要的整改优先事项。
对于走得更靠前的组织而言，优先事项转向构建持续保障层，并调整审计、风险与安全职能，使之检验智能体行为而非静态模型。这在结构上比清单工作更为艰难，需要在工具、技能和流程重构方面进行投入。取得成功的组织，将是那些把 AI 智能体治理视为基础设施而非额外开销的组织，从一开始就将其嵌入架构之中，具备清晰的归属和可衡量的结果。
具体到澳大利亚金融服务机构，APRA 2026 年 4 月的公开信是具有操作性的关键文件。认真研读该信，包括其中针对四个观察领域逐一详述的期望，并对照这些期望开展结构化的差距评估，是当下正确的优先事项。APRA 已表明，相称的审慎审查、专题活动以及 AI 供应商接触，将在未来 12 个月内构成一项积极的监管计划。与 APRA 非财务风险团队（Non-Financial Risk Team）进行结构化的早期接触，正如该信明确邀请的那样，其窗口如今已经打开，相较于等待被检查，这将带来明显更为宽和的监管姿态。