本文来自微信公众号： 数字经济发展评论 ，作者：数字经济发展评论
导语
布鲁金斯学会（Brookings Institution）近日刊发文章提出，过去两年AI智能体的能力与预期市场规模都在快速攀升。这种快速推进意味着，既有的AI治理模式可能已不足以应对。治理要回答的也不再只是模型说了什么，而是系统做了什么、为什么被允许这样做、谁为此负责。作者认为，基于风险、覆盖全生命周期的治理原则并未失效，缺口在落地，即如何把它们变成可操作、可衡量、可执行的控制。文章据此提出，治理应当在权限、反馈回路、基准与测试、前置激励与本地适配等环节上，把原则转化为可操作的控制。
原文标题：Shaping global governance of AI agents
原文来源：布鲁金斯学会（Brookings Institution）
编译解读：数字经济发展评论
2025年，AI智能体在计算机任务上的准确率从12%升至66.3%，仅比人类平均基准低6个百分点；据市场研究机构Precedence Research估计，其市场规模将从2025年的80亿美元增至2034年的1990亿美元。
这种快速推进意味着，既有的AI治理模式可能已不足以应对。治理重心正从静态的模型监督转向动态的系统治理，在控制、速度、可追溯性和人工监督四个方面都带来新的难题。两位作者强调，治理的核心问题不再只是模型说了什么，而是系统做了什么、它为什么被允许这样做，以及谁为此负责。
智能体一旦能行动，治理问题就变了
智能体能够自行规划、调用工具并执行任务，回答问题只是其基础能力之一。过去两年，智能体的能力与预期市场规模都在快速攀升。2026年5月，世界经济论坛（World Economic Forum，WEF）在华盛顿AI+Expo期间举办研讨会，正值这一转折。
会议的一个核心判断是，基于风险的方法、全生命周期治理、问责、安全与人工监督这些原则仍然适用，但随着系统行动更快、人类的直接介入更少，这些原则必须变得更具可操作性。
既有的治理结构建立在一连串彼此分开的阶段之上，从模型开发到采购、部署，再到输出审查。智能体让这些边界失去了意义：模型一旦与记忆、编排工具和外部系统的访问权限组合在一起，所形成的风险形态就完全不同。
举例来说，传统的AI聊天机器人可以在采取行动前交由人工审核，而智能体被设计成在人介入之前就会调用另一个系统或触发某个动作。一旦接入工具并被授予权限，它们造成后果的方式就超出了传统软件控制手段的覆盖范围。治理因此不能只在开发或部署环节把关，而必须跟着系统的运行持续进行。
这一转向能否真正落地，取决于系统是否具备足够的可观测性。若行动链的每一步都无法被实时追踪，追问系统做了什么便无从谈起，问责也就失去了锚点。
用得越来越多，实际价值却仍未显现
无论是在发达国家还是发展中国家，智能体都已进入生产效率、公共服务、教育、医疗、翻译和无障碍服务等领域，也有助于中小企业成长和发展目标的实现。制药企业用它压缩研发周期，工业品的供应链用它优化流程，客服部门用它降低成本。在制造业，智能体已从单纯标记缺陷，转向分析整个生产系统、找出可能的原因并剔除有问题的产品。
这类智能体未必需要最大的模型或最新的芯片，其部署门槛因此可能低于一整套数字化转型，对低收入国家而言也更容易落地。世界经济论坛对70项核心政府职能的研究发现，公共服务是智能体准备度较高的应用场景；不过该研究也提醒，应先推进信息驱动型任务，再转向资格认定这类基于判断的任务，因为后者会影响涉及个人的敏感决定。
即便是较简单的部署，早期回报也已相当可观：美国疾病控制与预防中心（CDC）估算，其面向全体员工的AI聊天机器人带来了527%的回报。在良好治理之下，机构还可以借助智能体的优势提升生产力、完成复杂工作流的自动化，并以快速的需求评估应对危机。
问题在于，已有的证据还没有跟上治理议题。当前有关AI实际价值的研究，观察对象大多还处在“前智能体”阶段。采用者也仍然集中在人均GDP较高国家的知识工作者，企业侧的采用落后于个人使用，合规要求、预算和内部规则都在拖慢部署。
微软对10万次Copilot对话的分析发现，近一半请求是让智能体辅助认知工作，其余则分布在与人协作、查找信息和产出成果上。从这些使用模式可以初步看出价值集中在哪些环节，却还不足以回答智能体全面进入工作流程之后会发生什么。目前观察到的使用方式，仍主要是人在提出任务、AI在提供帮助，与系统自行规划并连续采取行动之间还有明显距离。
正如华盛顿研讨会所指出的，规模更小、支持多语言、开源或可复用的模型，能够以远低于大模型的算力支撑翻译、无障碍这类应用，从而把机会扩展到那些无力部署最大系统的国家和企业。
不过，机会的扩大并不等于能力的均衡。监管专业知识、测试能力、基础设施与议价能力在各国和各组织之间分布极不均衡，因此全球智能体治理不应假定每一个部署方都有能力就风险分配与大型技术供应商谈判，也都能获得评估团队、充足算力这类资源。能力不均会带来实质风险：正如传统AI会因训练数据的类型与来源存在偏见而失真，智能体同样可能不服务于某些群体的利益与需求。
在监管能力有限的国家，智能体特有的风险会被进一步放大。在权力高度集中的环境中，智能体还可能被用于追踪异见或散布虚假信息。再培训与劳动力市场的冲击也会在国家内部与国家之间同时放大，编程、客服等岗位面对的自动化压力尤为直接。治理因此既要稳健到足以保护用户，也要务实到能在低能力环境中真正运转。
对资源有限的经济体而言，如果标准与测试工具始终由少数厂商定义，其治理将长期处于被动适配的状态。对中国等正在自主推进智能体治理的经济体来说，参与开放标准的制定、建设本地化的测试与评估能力，是把被动适配转为主动对接的现实路径，也是把治理原则转化为本土能力的必要一环。
能力不等于授权：二者必须分开评估
智能体把自主行动的能力与权限、访问权捆绑在一起，使其能够在设定的边界内采取行动。自主性、适应性和复杂性既是智能体系统的根本特征，也正是让有效治理变得困难的地方。它们依托复杂的机器学习算法分析概率并决定行动，这一过程未必能被人理解，因而也就难以审计。
治理缺口往往出现在这样的地方：组织很清楚一个智能体能做什么，却未必想清楚应该让它做什么。即便组织搭建了最完善的系统，其可靠性也远非始终如一，一个获得正当授权的智能体同样可能出错。它可能误解任务，可能在遇到意外情况后无法恢复，也可能在接入某个工具后引入新的漏洞。与常规软件相比，出了问题之后也更难还原它当时为何作出这样的判断。
一个更完整的治理模型至少应评估五个相互作用的因素：能力、权限、架构、应用情境和后果。同一模型在不同应用和不同阶段的风险等级并不一样，用于检索信息时风险或许很低，一旦涉及修改记录、对外沟通或发起交易，风险就会明显上升。风险不能只按模型的名称或参数规模来划分，还要看它被放进什么流程、拿到了哪些权限。
世界经济论坛提出的“智能体能力与授权档案”（Agent Capability and Authorization Profile）正是为了把这两件事分开记录：由模型卡、系统卡与智能体卡片说明它能做什么，授权档案则写明它在特定工作流中被准许做什么。
档案还应交代部署范围、运行环境、权限、控制措施、评估证据、监控方式和责任归属，使特定部署在特定工作流中的边界变得明确。一个智能体往往需要对应多份档案，分别对应不同任务；这些记录应当与对整个底层系统的技术评估互为补充，而不是取而代之。
这一设计要真正发挥作用，前提是组织有能力厘清自己究竟应该让智能体做什么。而这恰恰是许多部署方尚未补齐的短板，也是授权档案能否落到实处的分水岭。
风险沿着行动链扩散，责任却容易断在中间
面向传统AI的治理结构，重点在于约束人如何使用AI，具体手段包括内容过滤、数据保护和输出审查。智能体让这一思路复杂化了，因为治理现在还要处理智能体如何与系统互动，以及智能体彼此之间如何互动。绑定在设计、采购或部署环节的分阶段模式，面对去中心化部署和不断提升的自主性已经不再够用；行动链上的每一步都在累积新的风险，治理必须持续进行，并且要跟得上速度。
隐私与网络安全风险尤为突出。一旦攻击者操纵了底层数据，智能体就可能据此作出错误甚至危险的判断；支撑其运行的个人数据、企业数据或系统数据也可能泄露，暴露敏感信息。
作者特别提到“提示注入”，这是目前最常见的攻击手法，一次注入就可能干扰整个系统，原因在于智能体的架构把所有输入都当作一串统一的词元（token）处理，很难划定边界，也难以判断究竟哪一部分受到了干扰。一段看似普通的输入，可能就此改变整条行动链的走向，而整条链上发生了什么却难以追溯，也难以验证，人工监督因此很难落到实处。
跨平台协作让追踪更加困难。模型上下文协议（Model Context Protocol，MCP）和智能体间协议（agent-to-agent protocol）等新机制，正在让智能体无需深度集成即可跨系统彼此协作。协作能力的提升有利于提高生产效率和系统能力，但也要求更有意识的治理，因为接入的系统越多，安全攻击造成的破坏就越大，某一步的异常也更难定位。
值得注意的是，MCP、智能体间协议这类互连机制正在成为事实上的治理接口，智能体能触及哪些系统、哪些动作可被追溯，很大程度上由协议层决定。
更根本的是，开发者、部署方、用户与受影响社群之间存在问责缺口。如果社群缺席治理本身的设计，伤害就更可能发生，无论这种伤害是否有意为之。
从原则到落地：五项可执行的治理控制
要让治理框架足以应对智能体，就应当保留那些行之有效的既有原则，同时让它们变得可操作、可衡量、可执行。七国集团主导的“广岛AI进程”（Hiroshima AI Process）国际指导原则，以及其他基于风险、覆盖全生命周期的治理思路，都仍然适用；真正的缺口在于落地，即如何把原则转化为可操作的控制措施。
治理不能寄望于“一规了之”，而应当以持续的调整和学习为基础。具体而言，公共部门与私营部门都应从以下五处着手。
其一，明确智能体的权限与访问范围。结构化的授权模型应当指明智能体的责任主体，只授予完成任务所必需的权限，并预先设定适用范围和需要人工介入的动作，使高风险动作在事前即被识别出来。落地方式有两类，即护栏与约束。护栏通过输入验证、内容过滤和范围检查来阻止动作，约束则通过数据边界、输出上限、成本与时间上限以及动作限制来限定动作。
同样重要的是持续生成可追溯的证据，以便把智能体与其权限范围、实际动作对应起来。欧盟《人工智能法案》（EU AI Act）、美国国家标准与技术研究院（NIST）的AI风险管理框架，以及OpenID基金会2025年10月发布的智能体身份白皮书，都指向对可追溯证据的要求，这一要求也须随着智能体的演进而持续落实和更新。
其二，在部署方与开发者之间建立更强的反馈回路。端到端追踪、集中式网关和共享仪表盘，都是提升可见性的重要工具，可以让双方都看到智能体的错误、回退机制的触发与策略拦截。
运行时治理则在多个检查点上审视智能体的动作，包括持续监控、日志记录、升级处理、可审计性与救济，唯有如此才能跟上以秒为单位发生的自主决策。欧盟《人工智能法案》对医疗、就业等最高风险类别施加了最重的义务，要求自动记录日志并保留人工监督，并以罚款保障落实，但这些要求尚未生效。
2026年7月开始实施的“AI数字综合法案”（Digital Omnibus on AI）把独立高风险系统的义务推迟到2027年12月，把嵌入受监管产品的AI义务推迟到2028年8月。透明度与AI素养方面的义务并未延期，因此在未来约16个月里，对在高风险领域行动的智能体的约束，主要来自组织自身的制度而非法律。
与此同时，NIST AI RMF 1.0是美国多方共创的自愿性框架，围绕四项功能展开：跨领域政策与问责、系统层面的风险语境、定性与定量的风险评估、风险处置与事件响应。该框架指出，第三项功能最常引发实施困难，缺乏数据或基础设施往往导致这一环节失败，必须优先补齐。若能将该框架转为强制性要求，其落地速度有望加快。
由此形成的制度现实是，原则宣示与强制落地之间存在一段真空期，而智能体的部署速度不会等待立法。这段窗口期既是组织建立内部治理的机会，也是风险失控的敞口。
其三，为智能体系统开发更好的基准与评估。在开发和部署的全流程中，都应纳入更完善的基准与评估，包括轨迹追踪，即观察决策链及其互动而非只看输出；事实依据核验，即用自动化探针或基于评分标准的评判，检查行动是否以及在多大程度上依托可信来源；对抗性红队测试，即用真实威胁对模型施压。
任务成功率是一个有用的基准，若能在不同场景与约束下做更细的追踪，其参考价值会进一步提高。可定制的评估应内建于设计环节，并与部署前的影响评估相配合。
其四，激励测试、保证与偏见评估，而不是抑制这些投入。沙盒可以让智能体的决策在部署前得到检验，公私合作、基础设施投入和能力建设，都能对前置测试形成正向激励。ISO/IEC 42001是首个可认证的国际AI管理体系标准，有助于组织为履行欧盟《人工智能法案》的义务做好准备，但并不构成符合性推定。
新加坡开源的AI Verify工具包为测试公平性与鲁棒性提供了低门槛的途径；2026年1月，该国监管机构还发布了专门面向智能体系统的《智能体AI示范治理框架》，这是首个为智能体系统打造的治理框架。
其五，在推动国际互操作性的同时为本地适配留出空间。在安全风险可控的前提下，模型上下文协议等开放标准可以支撑全球互操作性。确立共同的安全与人权对齐目标，有助于让跨境运营更顺畅，本地系统只需满足核心标准，区域监管者则可依本地需要调整执行方式。例如，新加坡的治理框架充当着东南亚的枢纽，侧重透明度与问责；非洲的AI区域枢纽倡议则与高校合作，聚焦伦理议题。
随着智能体日益复杂和普及，找到有效的治理路径也变得更为紧迫。我们需要务实、多方参与的流程，以维护人的安全与保障权益。这类系统要求持续监控、真实场景评估、更强的反馈回路、升级机制、更好的基准，以及产业界、政府、公民社会、受影响社群与国际框架之间的协调。
同样关键的是在开发者、部署方和用户之间划定清晰的责任分担，并推动受影响社群、公民社会、监管者、学界与产业界共同参与治理框架的制定。