AI 日报 · 10/20｜智能体被当成内部威胁，网站也开始对它关门

今天有四条新闻，表面上各不相关：微软发布守护智能体、多家网站开始屏蔽智能体、LinkedIn 清理 AI 生成内容、一款开源编程智能体被入侵。把它们并起来看，是同一个转向——行业讨论的重心，正在从「智能体能做什么」转向「该不该让它做、出了问题谁来停」。

微软把智能体归进了「内部威胁」

先说最直接的一条。微软推出「守护智能体」（Guardian Agents），用来监控企业内部正在使用的各类 AI 智能体，它隶属于今年 6 月上线的感知项目（Project Perception）。据IT之家报道，感知项目最初的设计前提是 AI 黑客来自企业外部，所以配了三种角色：扮演黑客实施攻击的红队智能体、负责侦测攻击并评估漏洞的蓝队智能体，以及专门修复漏洞的绿队智能体。

现在这个前提被推翻了。微软 CEO 纳德拉警告，AI 层面的威胁源头，有可能正是企业自己部署、自己付费使用的智能体——就像一名行为失控的内部员工，也就是安全行业常说的「内部威胁」。

微软安全业务负责人加洛的表述更直白：「前沿模型无论来源是哪里，都无法完全信任。」她强调这不是因为模型本身有恶意、或者容易被攻破，而是它的行为具有不可预测性——模型的训练目标是完成任务，而不是遵守组织的规范与判断准则。再加上智能体往往手握高权限、能访问各类数据与工具，一旦失控，损害会很实在。

纳德拉给出的解法是一个职责分离的原则：把「智能能力的供给」和「对它的管控权限」分开，不要把智能体代我们行事的责任，外包给模型供应商。

具体动作：识别它、限制它、高风险要人工点头

落到产品上，微软在 Defender 里加了智能体检测，最多能识别员工带进工作环境的 60 种智能体，其中点名了 Claude Code、Codex 和 OpenClaw；同时可以限制智能体访问数据与系统的权限，并按任务动态调整；如果判断某个操作风险高，系统会要求人工审批。

这里有个值得注意的立场问题：微软同时投资了 OpenAI 和 Anthropic，云业务上 OpenAI 也是它的大客户，而它现在在让客户对这两家的产品保持警惕。商业动机很明显——卖安全产品的是它自己。但抛开利益，这套逻辑本身站得住：监控智能体行为的软件，理应独立于智能体的提供方，就像审计机构要独立于被审计对象。

另一边，网站真的开始对智能体关门

如果只是厂商在喊风险，还可以当成卖货话术。但另一条新闻说明阻力是真实的：网站真的开始拦了。据Solidot 转述，使用 Meta 的 Muse、xAI 的 Grok、OpenAI 的 Dots 以及 Instinct 等智能体服务的用户，最近几周发现自己的智能体在访问部分主流网站时被屏蔽，任务直接中断。

具体到各家：Yelp 表示只允许付费参与其数据许可计划的智能体访问；达美航空阻止了智能体代用户预订机票；摩根大通和嘉信理财也证实，出于安全考虑正在阻止智能体访问用户账户；此前曾支持智能体访问的 Cars.com 和 Amtrak 如今已无法访问；亚马逊则屏蔽了 Meta 的 Muse、xAI 的 Grok、Instinct 以及 OpenAI 的 Dots。

平台的理由不难理解：代订、代买、代查账户，每一样都涉及风控、责任归属和商业利益。Meta 的做法是绕开这道门，转而与沃尔玛、Gap、Sephora、百思买等零售商逐一达成合作，让 Muse 在合作平台上购物。

这里有个负反馈值得留意：智能体能访问的平台越少，用户就越会怀疑它到底有什么用——而这恰恰是智能体最需要向用户证明自己的阶段。

AI 生成内容开始被平台当成污染来治理

第三条来自 LinkedIn。据Solidot 的报道，平台正在清理 AI slop（低质 AI 生成内容）。背景数据来自 Pangram 今年 7 月的报告：LinkedIn 上四成的长文由 AI 生成，X 和 Medium 约为三成，Reddit 和 Substack 更低。

LinkedIn 主编 Dan Roth 的说法落在商业上：AI slop 读起来千篇一律，用户如果看到太多同质化帖子，既拿不到真正有价值的知识，也无法通过内容深入了解职场人脉，那就存在流失到其它平台的风险。平台 8 月上线了让用户标记可疑 AI 帖子的功能，也在用自家的 AI 系统限制传播；上个月它表示 AI slop 的浏览量下降了四成。

这条和智能体看起来是两件事，其实同源：当 AI 生成的门槛降到接近零，平台的价值就不再取决于「有多少内容」，而取决于「能不能把噪声压下去」。治理能力正在变成平台的核心竞争力。

同一天，智能体的凭证成了实打实的攻击面

最后一条最具体。开源 AI 编程智能体 OpenCode 被入侵，攻击者攻破了它在线平台的一部分，盗走了一些用户的 API key，并用这些 key 在用户的 AI 账户上刷出了费用。据TechCrunch 的报道，OpenCode 的定位正是 Claude Code 与 Cursor 的开源替代品。

把它接进自己的开发流程，意味着它会长期持有模型调用凭证。这类工具一旦被攻破，损失不只是多出来的账单，还有凭证背后能触达的全部东西。把它和微软的说法放在一起会发现，两边描述的是同一件事的两面：微软从治理角度提醒智能体「手握高权限」，而这次事件展示了高权限被第三方拿走之后会发生什么。

对读者意味着什么

四条新闻拼起来，其实是智能体的「权限」正在被重新定价：能代你做事的东西越多，它需要拿到的授权就越多，而每一份授权都是一个需要被管理、被审计、被随时收回的对象。

对个人开发者：不要图省事把长期有效的密钥直接交给智能体或第三方工具，能用短时效凭证就用短时效的，用完即撤；接进来的工具要定期检查它到底能访问什么。

对团队：采购或自建智能体时，除了问「它能做什么」，还要问三件事——谁能监控它的行为、出问题谁能按下停止、它的权限是不是按任务临时给。这三问答不上来的产品，风险其实落在你这边。我们整理了一份按试用、合规、成本与退出四个维度展开的采购评估清单，可以直接对着逐条过；也可以先看Claude Code 的工具页，它正好是微软在 Defender 里点名识别的智能体之一。

本文由 AI 辅助整理，信息以来源链接为准。