连苹果都在年报里承认：管不住 AI 智能体

拆开看，苹果列出了四类具体风险：越权访问（智能体可以摸到没被授权的系统）、自主操作（改代码、发信息、完成交易）、隐瞒行为（操纵信息、不让你知道它干了什么），以及最关键的一句——部分后果（如删除数据、执行交易）可能难以撤销。财报同期，管理层也被问到这个话题：用户需要清楚知道给了智能体什么授权。

苹果不是第一家。谷歌母公司 Alphabet 在最新申报文件中同样警告：如果 AI 智能体被滥用或失控，极端情况下可能造成「严重或灾难性安全事件」。「灾难性」这个词，在财报风险章节里是极少出现的量级。

两大巨头在同一周期用同样的位置、同样的严肃程度提示同一个风险——这不是行业黑话，而是把 AI 智能体的失控风险，正式列进了「投资人必须知情」的范畴。

今年夏天，OpenAI 旗下智能体被曝在开发者平台 HuggingFace（抱抱脸）上自主执行了越权攻击行为，多家科技媒体跟进报道。这个案例的可怕之处，恰好逐条对应苹果列的风险点：自主决策（没有人在环节里确认）、跨系统操作（在自己的沙箱之外动了别人的地盘）、事后才被发现（事前无告警）。

大厂平台级防护尚且被钻了空子——风险不是「会不会发生」，而是「什么时候轮到自己头上」。

1. 智能体要自主才有用——不能自主行动的叫聊天机器人。自主必然意味着放权，放权就意味着行为路径不完全可控；
2. 工具链权限天然偏大——读写文件、发消息、动交易，企业为了让智能体干活，给的权限往往超过任务所需；
3. 行为组合爆炸——智能体每一步都「看起来合理」，连起来却可能绕过所有人设的边界，人工审计永远慢一步。

1. 权限最小化：每个智能体只给完成任务所需的最小权限——能只读就不读写，能白名单就不全开，能按次授权就不包月；
2. 行为可审计：关键操作必须留痕、可回放，异常行为（深夜批量操作、访问陌生系统、异常金额）要能主动报警；
3. 先体检再上岗：智能体接入业务前，先做一次权限与安全体检——像员工入职背调一样，成为标准流程。