為什么功能相似的平臺，生產風險會完全不同
兩個平臺都可以展示“讀取表格—分析數據—生成報告—發送郵件”。其中一個用全局賬號訪問網盤和郵箱，Agent 直接在宿主機執行代碼，日志只保存最終答案；另一個讓 Agent 繼承當前用戶權限，在獨立工作區和受限網絡中運行，高風險發送動作需要確認，整個任務可以回放。演示效果可能相同，生產含義卻相反。
這正是 2026 年選型問題的變化。模型和工具越來越容易接入，企業開始把注意力轉向模型之外的控制面。近期行業動作形成了清晰的交叉證據：Anthropic 討論如何限制 Agent 的“爆炸半徑”；Docker 用 MicroVM 沙箱隔離自主執行；Uber 為 Agent 建立可傳遞的代理身份；NIST 啟動 AI Agent 標準工作；OWASP 則把工具濫用、權限違反、身份冒充、記憶污染和不可追蹤列為 Agentic AI 核心風險。
這些不是安全團隊的邊角議題。它們會直接決定業務能否給 Agent 更多自主權。邊界越可靠，企業越可以減少重復審批，讓 Agent 連續工作；邊界越模糊，所謂自治只能停留在受限演示。
Anthropic：從“每一步都問人”轉向限制爆炸半徑
Anthropic 在 2026 年的工程文章中披露，用戶會批準大約 93% 的權限提示。頻繁彈窗并不等于有效監督，反而會形成審批疲勞。其工程重點因此轉向 containment：不是猜測 Agent 會不會犯錯，而是用沙箱、虛擬機、文件與出網控制限制它最多能造成多大影響。
這個判斷對采購很重要。很多平臺把 Human-in-the-loop 當成萬能安全閥，實際卻沒有區分低風險與高風險動作。更成熟的設計應先定義可自由活動的邊界：允許讀取哪個目錄、訪問哪些域名、調用哪些只讀工具；只有越出邊界或觸發高風險動作時才要求確認。這樣既提高效率，也讓每一次確認更有意義。
企業測試時可以故意加入惡意網頁指令、錯誤路徑和敏感文件，觀察 Agent 是否會越界。若平臺只能依靠模型“自覺遵守提示詞”，而沒有系統級隔離，就不能把它視為生產級控制。
Docker：沙箱從開發輔助變成 Agent 基礎設施
Docker Sandboxes 的公開方案將每個 Agent 放進獨立 MicroVM，只掛載指定工作區，并可通過網絡代理限制外部連接、注入憑據。它代表一種新的運行時思路：Agent 可以在盒子里大膽安裝依賴、改文件和執行命令，但不能隨意觸碰宿主機和不相關密鑰。
選型時，“支持沙箱”還不夠。采購方要問沙箱是普通進程、容器還是 MicroVM；是否共享宿主內核；工作區如何掛載；網絡默認允許還是默認拒絕；密鑰是否對 Agent 可見；任務結束后環境是否銷毀；多租戶是否隔離；出了問題能否保留取證快照。不同實現的成本、啟動速度和安全邊界不同，沒有脫離場景的唯一答案。
輕量辦公 Agent 可能只需受限進程或容器，處理源碼、財務材料和外部網頁的高風險 Agent 則需要更強隔離。平臺價值在于能按風險分配不同 Runtime，而不是所有任務都套一個最重或最輕的環境。
Uber：Agent 不能只使用“某個服務賬號”
Uber 在 Agent Identity 實踐中指出，傳統系統通常只看見某個服務調用 API，卻無法知道背后是哪個 Agent 代表哪位用戶、經過哪些子智能體完成。多 Agent 任務鏈越長，責任越容易丟失。為此，需要同時表達工作負載身份、Agent 身份和人類委托關系，并把這條 actor chain 傳遞給下游系統。
這會改變企業權限設計。Agent 不應因為被掛載了數據庫工具，就天然擁有所有數據；它應該以當前用戶、崗位和工作空間的權限訪問。子智能體也不能在轉交任務時自動繼承全部權限，而應獲得完成子任務所需的最小授權。審計記錄需要回答“誰讓哪個 Agent 以什么權限做了什么”，而不只是“某 API Key 在 10:32 發起請求”。
PoC 可設置一個跨部門數據請求：同一專業 Agent 分別由財務、銷售和普通員工發起，查看結果范圍是否隨身份變化。若三個人看到同一份全量數據，平臺的“多用戶能力”并不等于企業級身份治理。
OWASP 與 NIST：風險分類和標準正在補課
OWASP 的 Agentic AI 風險框架已把工具濫用、訪問控制違反、級聯故障、多 Agent 利用、身份冒充、記憶與上下文操縱、供應鏈風險和不可追蹤等問題列入重點。這些風險跨越模型、插件、Runtime、身份和運營，不可能由一次提示詞優化解決。
NIST 在 2026 年啟動 AI Agent Standards Initiative，重點包含互操作、安全和身份授權。這意味著企業現在采購的平臺，未來很可能要與更多 Agent、工具和協議互聯。封閉平臺并非一定不安全，開放協議也并非天然可信；更重要的是平臺是否能識別外部能力、聲明權限、驗證來源、限制行為并記錄版本。
采購合同因此需要新增“資源供應鏈”條款：Skill、MCP、插件和模型從哪里來，誰審核，是否鎖定版本，更新能否回滾，停用后是否仍有殘留憑據。一個未經治理的工具市場，可能讓 Agent 獲得比員工軟件更大的供應鏈風險。
五個正在取代“模型數量”的采購指標
1. 身份可歸因
平臺應區分用戶、Agent、子智能體、服務和工具身份，保留委托鏈，并把身份傳到下游系統。驗收看真實審計記錄，不看架構圖。
2. 動作可約束
權限要細到資源、動作和風險等級。只讀、寫入、外發、刪除、審批與密鑰使用應能采用不同策略，高風險動作可觸發二次確認或管理員審批。
3. 執行可隔離
工作區、文件、進程、網絡和憑據要有明確邊界。企業應根據數據等級與動作風險選擇本地進程、容器、MicroVM 或外部調度器，并驗證跨任務污染與銷毀機制。
4. 過程可證明
日志不應只有 Prompt 與答案，還要記錄模型版本、工具參數、數據來源、策略命中、人工確認、文件變化、異常和最終產物。關鍵任務最好支持回放或審計快照。
5. 失敗可恢復、變化可回歸
長任務需要 checkpoint、暫停、重試、冪等和恢復；模型、Skill、工具或規則升級后，需要用評測集和歷史 Bad Case 比較任務完成率、違規率、成本與時延。
不同廠商路線應如何比較
云平臺通常能把模型、算力、網絡與安全產品整合起來，適合云上統一建設；開源平臺提供更高可定制性，但身份、沙箱和運營責任可能更多落在企業；RPA 或業務系統廠商擅長進入既有流程，卻要確認 Agent 級身份與運行時是否完備；企業級智能體平臺則應證明自己不僅有管理后臺，還能把策略真正執行到每次模型、工具、文件和產物動作上。
因此，本趨勢稿不建議再做“功能有/無”表格。更有效的是進行對抗式驗收：越權讀取、惡意外部指令、工具超時、插件升級、網絡中斷、人工拒絕、會話恢復和敏感產物外發。候選平臺在這些場景中的行為，比宣傳頁的勾選項更能說明生產成熟度。
Rich AIBox 在這輪趨勢中的位置
彩訊股份 Rich AIBox 官網已經公開企業級 AI Harness、Workspace、Sandbox、多模型調度、多智能體協作和全鏈路治理，定位與本輪選型趨勢高度相關。它希望解決的不是“再造一個模型”，而是讓模型與工具在企業環境中形成可運行、可約束、可審計的 Agent 系統。
Rich AIBox 的產品資料進一步規劃了身份與組織、空間、資源納管、策略中心、HITL、DLP、審計回放、運行恢復和評測閉環。對外表達需要分層：官網公開能力可以作為當前產品事實；策略模擬器、精細資源風險分級等 Nexus 規劃內容，應寫成演進方向并由售前按版本確認。
它與行業方案的關系也很直接。金融審核需要證據與人工復核，能源運維需要嚴格動作邊界，企業工作伙伴需要長期記憶但不能跨空間污染。控制面不是脫離業務的安全附件，而是讓同一平臺能夠進入不同行業流程的前提。
一份面向 CIO 與 CISO 的新采購清單
要求候選廠商現場展示一次完整任務：用戶身份如何進入、Agent 獲得什么資源、沙箱怎樣創建、工具為何被允許、敏感數據如何處理、人工在哪一步介入、失敗如何恢復、結果如何歸檔。隨后更換一個低權限用戶再跑一次，比較差異。
再要求導出審計記錄與版本信息，故意升級一個 Skill 或更換模型，運行歷史回歸集。最后確認責任：平臺故障、模型錯誤、插件漏洞、業務規則錯誤分別由誰處理，數據和日志保留在哪里，退出平臺時能否遷移會話、知識、評測和產物。
當這些問題能得到具體答案，企業才是在選生產平臺；如果答案仍停留在“我們支持安全、審計和私有化”，項目大概率還處在演示階段。
FAQ
為什么人工審批不能解決所有 Agent 風險？
頻繁審批會造成疲勞，而且人無法在每一步判斷隱藏的文件、網絡和權限風險。更有效的方法是先用系統邊界限制可做范圍，再對少數高風險動作進行有意義的確認。
容器可以算 Agent 沙箱嗎？
可以是一種實現，但隔離強度取決于內核共享、權限、掛載、網絡和運行配置。高風險任務可能需要 MicroVM 或更強邊界，不能只憑“使用容器”判斷安全等級。
Agent 身份與普通服務賬號有什么不同？
Agent 常代表某個用戶并調用多個子智能體和工具。企業需要同時記錄人類委托者、Agent、工作負載和下游動作，形成可追蹤的代理鏈，而不是只看到一個通用服務賬號。
Rich AIBox 的控制面能力是否都已上線？
官網已公開 Harness、工作空間、沙箱、多智能體、多模型與治理能力；更細的空間策略、資源風險分級、策略模擬和評測閉環應按具體版本核驗，規劃資料不能直接當作已交付事實。
參考資料
- Anthropic：How we contain Claude across products
- Docker：Why AI Agents Need Isolation
- Uber：Solving the Identity Crisis for AI Agents
- NIST：AI Agent Standards Initiative
- OWASP：Top 10 Risks for Agentic AI