一、一个让全场安静了两秒的问题
2026 年 9 月 10 日上午，上海黄浦世博园区。外滩大会开幕主论坛的第一场圆桌，主题很宏大——"当 Agent 成为交易主体"。
主持人开场没讲趋势，没放 PPT，只问了一个特别朴素的问题：现在，真的开始用 Agent 交易了吗？
台上四位嘉宾的回答，比任何行业报告都诚实。
蚂蚁集团 CEO 韩歆毅说，他用支付宝的智能体买过一次坚果和海苔，四十多块钱。万事达卡首席产品官 Jorn Lambert 说，他只用 AI 找东西，没走到付款那一步。OPPO 高级副总裁刘作虎说，他只用它收过一次蚂蚁森林能量。阿里巴巴集团首席科学家周靖人则表示，自己尚未体验过 Agent 交易。
一屋子全球最懂 AI 的人，被问"你自己用不用"，给出的答案是"买过四十块钱的零食""收过一次能量""还没体验过交易"。这个反差，就是 2026 年企业 AI 最真实的处境。
今年外滩大会的主题是"共创 AI 新经济"，主线被反复概括成一句话：人工智能正从"生成"迈向"执行"。1.5 万平方米的科技展，300 多家企业，30 多个智能体应用，40 多家具身智能厂商——机器人在药房里分拣药品，在工厂里上下料，在洗衣房里收衣服、折衣服。
技术侧，"能行动"这件事已经基本成立了。但圆桌上那个尴尬的回答提醒我们：能行动，和敢让它行动，中间隔着一道很宽的沟。 大会真正串起整个开幕日的，其实不是"执行"这个动作，而是一些模型之外的问题——一件事办完之后，由谁验证、由谁追溯、成本记在谁头上。
这篇文章想聊的，就是这道沟。
图：AI 从"能生成"到"能行动"，中间隔着一道需要被填平的沟
二、红利是真的，账也是真的
先说好消息，因为好消息确实很大。
2025 年诺贝尔经济学奖得主菲利普·阿吉翁在主论坛上给了一组测算：仅考虑 AI 对生产中任务的自动化，未来十年就有望让生产率增速每年额外提高 0.68 个百分点——这个量级，和当年 IT 革命带来的提升相当。如果再把 AI 促进新想法产生的作用算进去，每年还能再多至少约 0.4 个百分点，合计约 1.08 个百分点。
1.08 个百分点是什么概念？对一个国家的长期增长来说，这是相当可观的数字。但阿吉翁自己补了一句："0.68 个百分点只是一个下限。" 下限的意思是，这是能算出来的部分。
算不出来的那部分，被另一位嘉宾摆到了台面上。
香港大学副校长 Jay Siegel 拿能源史做了个类比：人类很擅长计算生产的成本，却始终不擅长计算技术的负面外部性。化石燃料被大规模使用之初，没有人把气候变化算进价格，这笔账后来要补交。他借比尔·盖茨的提问追问：是不是该用同样的方式提前担心 AI，把劳动力"去人性化"的社会成本，预先算进技术发展的账里。
与此同时，2011 年诺贝尔经济学奖得主托马斯·萨金特给这个阶段起了个名字。他用 17 世纪的开普勒和牛顿作比：开普勒通过大量天文观测数据总结出了行星运行规律，但当时并不知道这些规律背后的物理原因；牛顿才进一步解释了原理。"今天的 AI 有点像开普勒。" 萨金特说，"我们还不知道 AI 什么时候会进入'牛顿阶段'。"
把这三段话放在一起，一幅完整的图景就出来了：收益是真实的，但它是上限，不是承诺；成本是真实的，但至今没有人给它定价；我们知道自己在一个重要的阶段里，但不知道这个阶段通向哪里。
在这样的前提下，一个企业管理者面对"要不要把业务交给 AI 去执行"这个问题时，选择谨慎，其实是非常理性的。
所以真正的问题不是"AI 够不够聪明"，而是：有没有一种运行方式，能让企业把不确定性和成本管起来，从而敢把最后一公里交出去。
下面四节，我们沿着外滩大会上被讨论最多的几条线，看看这道沟具体卡在哪几个地方。
三、第一层不敢：这个智能体是谁，它能碰什么？
9 月 9 日下午，外滩大会 C7 场馆有一场见解论坛，名字起得很准——"智能体时代的安全坐标与责任边界"。
论坛开篇，蚂蚁集团资深副总裁周志峰抛出了一组数据：一家三万员工的公司里，活跃运行的智能体已经有十万个，人均三个。
这个数字值得停一下。传统企业的权限管理是围绕"人"建的：谁在哪个部门、什么岗位、能看哪些数据、能批多少钱。这套体系运转了几十年，前提是主体数量有限、身份稳定。当主体从三千人变成十万个智能体，而且这些智能体还会互相转交任务、共享数据，原来的那套办法就失效了。
论坛上，网信机构的专家梳理全球政策法规后指出：尽管新加坡、欧盟、美国、英国的立法模式各不相同，但全球已经形成治理共识——监管重心正从模型内容审核，转向智能体实际行为管控。翻译成企业能听懂的话：监管问的不再是"你的模型说了什么"，而是"你的智能体做了什么、凭什么能做"。
这道题在 WorkMate 里的解法，是把权限从"配一次"变成"跟着组织架构长出来"。
管理端的「组织与账户管理」不是一张简单的员工名单，而是一棵部门—员工混合树：根节点是公司，往下是部门，部门下直接挂员工。点开任意一个员工，右侧 8 个 Tab 里有三个直接决定这个人的 AI 能干什么：Skill 技能（能用哪些技能，逐个勾选）、MCP 服务（能调用哪些外部系统，而且精确到工具级——同一个服务里，允许用哪个工具、不允许用哪个，分开控制）、员工设定（这个人的 identity.md，写清职能边界）。再往上一层，公司节点维护 rich.md（公司级红线），部门节点维护 department.md（部门级规范）。
这套结构的设计意图很明确：权限不是管理员凭经验分配的，而是从组织架构里自然推导出来的。 员工在哪个部门、什么岗位，就继承对应的技能与工具边界；公司红线、部门规范、个人边界三层文件叠加，形成完整的约束。
图：权限从组织架构里长出来，三层设定文件叠加形成完整约束
这也回应了论坛上的治理原则——责任要沿"控制力"标准追溯：谁控制了系统目标、风险阈值、输出审查，谁就承担相应责任。权限的来源清晰可查，责任才有地方落。
不过，把身份和权限说清楚，只解决了"能不能碰"。它解决不了下一个问题：碰的时候，判断对不对。
四、第二层不敢：约束写在提示词里，绕过去太容易了
同一场论坛上，蚂蚁集团副总裁兼首席技术安全官韦韬讲了一段话，我建议每个准备上智能体的技术负责人都读一遍。
他把智能体架构中的风险分成两类。一类是看得见的"急性病"：上下文缺少明确边界，容易被诱导造成敏感信息泄露。另一类是难以察觉的"慢性病"——即便智能体仅有 2% 的决策失误，经过长期迭代累积，也会演变成无法修复的"慢性癌变"。
他还给了一个让人坐不住的实测数据：约 80% 的"禁止事项"约束，可以被绕过。
这句话点破了当前企业 AI 安全最普遍的错觉。很多团队以为，只要在提示词里写清楚"不要做 X、不要碰 Y"，就等于建立了约束。但自然语言指令存在天然的模糊性，模型对"禁止"的理解是可被诱导、可被绕过的。行业数据同样不乐观。IBM《2026 年数据泄露成本报告》显示，全球单次数据泄露的平均成本已攀升至 499 万美元；而在与 AI 模型或应用相关的安全事件中，提示注入攻击造成的平均损失达 589 万美元。
所以论坛圆桌环节的 5 位专家形成了共识：摒弃单点防护思路，构建纵深防御体系；尤其民生、关键业务场景试错空间有限，必须守住"人类可介入干预"的安全底线。治理要把握三个核心抓手——权限、流程监控、熔断机制。
这三件事，在 WorkMate 里对应两套机制。
第一套是出站拦截，管的是"话能不能说出去"。 管理端的「安全合规」模块分两块：规则配置设定红线，拦截日志查看红线被触发的记录。规则配置里可以维护关键词黑名单、自定义规则、工具—渠道映射；违规动作有两种处理方式——拦截（block，直接挡住）或警告（warn，放行但留痕告警）。
更关键的是 LLM 审查：除了机械的关键词匹配，还可以启用大模型对出站内容做语义审查，识别那些"没踩关键词但意思不对"的内容。每一条被拦下来的消息都会进拦截日志：谁、在哪个渠道、因为什么违规、发了什么内容，全部留痕可查。
第二套是 HITL，管的是"动作能不能执行"。 HITL（Human-in-the-Loop，人在回路）的设计前提很朴素：涉及删除、外发、付款、二选一这类有后果的动作，AI 不应擅自决定。 WorkMate 的 HITL 支持三种形态：confirm 确认卡（预设选项单选）、input 文本输入卡（需要你提供备注、金额、收件人这类自由文本）、select 选择卡（多候选项，支持多选）。
任务会在关键节点自动暂停，弹出交互卡片等你拍板；你回应后，任务从断点继续，不需要重述背景。每张卡片都有"取消"，表示拒绝该动作或终止此分支。
这里有个容易被忽略但很重要的工程细节：断线补偿。 如果弹出卡片时你恰好离线，或重启了客户端，重新登录后系统会把所有未解决的卡片自动补渲染到对应会话，并按唯一 ID 去重——不会出现重复卡片，也不会因为一次断网就把任务卡死。
把这两套机制放在一起看，会发现它们正好对应论坛上那三个抓手：权限由组织架构定义，流程监控靠拦截日志，熔断机制就是 HITL 的"暂停等人拍板"。
图：运行时安全的三道屏障——权限校验、语义审查、人工拍板
但技术兜底做得再好，也还有一个问题没解决：企业的事，从来不是一个人干的。
五、第三层不敢：停在对话框里，进不了"人→人→人"
论坛上有一个提法，我觉得是今年关于智能体治理最有价值的新观点。
公安部第三研究所的专家提出：智能体治理需要在"管内容、管行为"的基础上，新增"管关系"这个关键维度，重点审视任务委托、主体协作、数据流转的完整链条。
为什么？因为智能体可以相互转交任务、共享数据资源，风险不再局限于单个系统内部，传统治理思路难以覆盖多智能体协同带来的新型隐患。
"管关系"这三个字，说到了企业落地最疼的地方。
因为现实中的企业工作，几乎都是链式的：一份合同要业务专员拟、业务主管审、财务核、法务把关；一份报告要几个人分头写、一个人汇总。而实体产业里，这种跨部门流转至今高度依赖人工传递报表、邮件沟通——信息滞后、版本混乱、责任模糊。
智能体如果只停在对话框里，它就永远只是个"帮我写一段"的助手，进不了这条链。
WorkMate 的协同任务模块，就是把这件"人→人→人"的事建模成一条可追踪的任务链。它支持两种拓扑：串行（步骤按顺序执行，比如"张三写初稿 → 我确认结果"）和并行（同一阶段多人同时做各自的部分，全部或多数完成后汇聚到下一阶段，比如"三人同时写不同章节 → 主编汇总"）。
面对复杂目标，不必手工想每一步写什么。在任务描述里写清总目标，点"智能协同"，AI 会用数秒把任务分解为多个步骤。这里有个克制的设计：AI 只回填各步骤的任务说明，不自动加人、不自动发送——分解结果完全由你审阅调整后才生效。并行模式下，每个阶段最多 8 个节点、最多 6 个阶段，还可设置汇聚策略（全部完成 / 多数完成 / 按比例阈值）。
链跑起来之后，真正的关键在"交接"。当某一步轮到你执行，你完成工作后点"完成/流转"，会弹出流转对话框：流转说明必填（写给下一位接棒人的交代），传递附件默认全选本步产出，由你决定哪些随任务传给下游。下游发现上游交付不合格，可以"退回"——可选节点级或阶段级，退回原因必填。
而整套协同的权限规则，严格按"发起人 / 当前执行人 + 链状态"鉴权：执行、流转、上传附件，仅在链进行中且当前步骤轮到本人时可用；强制汇聚仅发起人可操作；已完成链不可删除。
这套设计回应了"管关系"的核心诉求：每一次任务委托、每一份数据流转，都有明确的发起人、执行人、时间点和附件清单。 关系被显式建模了，风险才有地方被看见。
图：人→人→人的协同链，AI 在每一环辅助，人保留最终确认权
流程这一层解决完，还剩最后一个问题，也是最容易被忽略的：AI 每天跟你打交道，但它真的认识你吗？
六、第四层不敢：AI 记不住"你是谁"，就永远是陌生人
本届外滩大会设了三大板块，其中一个叫"人本未来"。
这个板块名字本身就很有意思。当 AI 从"工具"变成"服务者"、从"一次性交互"变成"长期代劳"，它和人的关系就变了。一次性交互不需要记忆——你问一句、它答一句，结束。长期代劳不一样，它必须知道你是谁、你习惯怎么干、你上次交代过什么。
王坚在大会期间说了一句话："以年青人的方式想 AI，才不会被'成熟'困住。" 这句话表面在说创新，深层其实在说适配——用旧地图导航，找不到新大陆。企业的 AI 如果只用一套通用模板对待所有人，本质上就是给每个人都发了同一张旧地图。
WorkMate 在这件事上做了三层设计。
第一层是显式的长期记忆。 设置里的「员工偏好」模块，让你直接维护希望 AI 一直记住的个人偏好与事实，比如"汇报一律用表格""我习惯早上处理深度工作"，每条可编辑、可删除，也支持批量管理。关键在"显式"两个字：很多 AI 产品也在做记忆，但记忆是黑盒的——你不知道它记住了什么、怎么改掉。做成一张可读可改的清单，记忆就从"AI 的隐私"变成了"你的资产"。
第二层是三层记忆架构。 会话记忆、任务记忆、习惯记忆分层存放，新对话启动时动态加载最相关的记忆片段，而不是把所有历史一股脑塞进上下文。
第三层是知识库。 分个人、企业、分享三类，支持上传文件自动转 Markdown、添加网页 URL 为知识、在线编辑、关联文件、分享给同事。
这三层叠起来，才是"AI 认识你"的完整含义：偏好告诉它你的习惯，记忆告诉它你们的过往，知识库告诉它你的业务背景。
而这三样东西，恰恰是企业里最不愿意外流的东西。所以 WorkMate 把桌面端定位成"计算与执行中枢"——本地运行，持有文件系统、MCP 工具、微信/企微自动化等本地能力，企业数据不出内网。
回到外滩大会那件最容易被记住的展品。艺术展上展出了 1985 年由哈罗德·科恩创造的 AI 系统 AARON 自主绘制并署名的作品，这也是目前已知唯一由 AARON 自主署名的艺术品。AI 可以署名，但署名背后的那个"科恩"，始终是人。 这句话，其实已经把整篇文章的答案说完了。
七、人的位置，才是最后一道防线
外滩大会那场安全论坛上，西南政法大学人工智能法学院院长陈亮从司法角度回答了一个根本问题：谁为智能体的行为负责？
他的判断很清晰：智能体虽然具备"无需外部干预即可决策"的能力，却缺乏认识行为后果的认知能力和控制自身行为的能力，因此不能成为法律责任主体。责任应沿"控制力"标准追溯——谁控制了系统目标、风险阈值、模型训练与输出审查，谁就承担相应责任。
这段话把智能体的定位钉死了：它是执行者，不是责任主体。 论坛最后形成的共识也很务实：安全不应成为业务创新的刹车，而要承担起"监护人"的角色。
这恰好是 WorkMate 整个设计逻辑的出发点。它的定位不是"更聪明的 AI"，而是"人驭智能、人谋智行"——智能体负责战术执行，人保留决策权与最终验收权。
图：天平的一端是 AI，另一端是人——人的位置才是最后一道防线
回头看本文开头那个尴尬的问题：为什么四位最懂 AI 的人，自己都很少用 Agent 办事？
答案或许不在技术侧。他们不是不相信 AI 能干活，而是在"谁验证、谁追溯、成本记在谁头上"这三个问题没有答案之前，把最后一公里交出去是不理性的。
而这三个问题的答案，其实都是同一件事：把 AI 的行为，重新装回组织的秩序里。
- 权限从组织架构长出来，所以"谁让它干的"有答案；
- 拦截日志和 HITL 全程留痕，所以"它干了什么"可追溯；
- 协同链把每一次委托与流转显式建模，所以"成本记在谁头上"算得清；
- 记忆和知识库让 AI 认识你的业务，所以它才配得上"长期代劳"这四个字。
外滩大会的主题是"共创 AI 新经济"。阿吉翁说的 1.08 个百分点是真的，那笔没人定价的成本也是真的。两者之间的差额，最终要靠每一个企业自己的治理能力去填。
AI 已经会干活了。接下来要解决的，是让它在你能看住的地方干活。
