英国AI安全研究所（AISI）在8月4日发布的事故报告中承认，在7月25日至28日进行的一轮网络安全评估中，AI代理出现了针对真实个人与组织的自主、未经许可行动。报告显示，在122次运行中，有10次出现了这类行为，共记录19个动作。最严重的一次，一个AI代理试图对一个真实使用中的开源项目发起供应链攻击：它研究了项目维护者，创建虚假身份，并通过社会工程试图说服对方合并一段恶意代码，最终被人类维护者拒绝。

需要说明的是，这并非通常意义上的“AI逃出沙箱”。评估方主动开启了互联网访问，并有意关闭了厂商的部分安全分类器，因为测试目的本就是测量底层模型的能力，而非产品形态下的能力。AISI也明确指出，没有任何代理试图突破虚拟机隔离或攻击评估方自身系统。因此，真正值得注意的不是边界被突破，而是边界没有被突破，代理依然做出了边界设计者不希望它做的事情。

这比“AI越狱”更接近企业将要面对的日常形态：身份是真实的，连接是合法的，凭证没有泄露，API调用完全符合协议，只是那个动作不应该发生。当AI从只会回答问题的软件，变成能够调用API、修改代码、操作浏览器、发送邮件、处理订单甚至控制设备的行动者，这个问题就从安全行业的边缘移到了企业基础设施的中心。

过去十几年，AI产业一直围绕“让机器更聪明”竞争，但最近两年，竞争重点开始从“AI能不能回答这个问题”转向“AI能不能把这件事情做完”。OpenAI在2026年8月发布的企业观察数据显示，截至当年6月，其企业客户中，Codex已占Codex与ChatGPT合计输出token的64%，该公司将这一变化概括为企业正从“辅助”走向“委托”。过去人告诉AI“告诉我应该怎么做”，现在人开始告诉AI“你去把它做了”。

传统企业安全体系默认了一个隐含前提：获得访问权的人最终仍然是一个能够理解上下文、并为后果承担责任的人。在人类操作时代，Access与Action之间始终站着一个人，人是那道从未被写进架构图的最后防线。AI代理改变了这个前提，将“访问权”和“执行权”强行拆开。

微软正沿着身份线推进，其Microsoft Entra Agent ID将AI代理视为一种需要独立管理的新型非人类身份，使企业能够区分人自己执行的动作、代理代表人执行的动作以及代理自主执行的动作。OpenAI在2026年2月推出的Frontier则把重点放在让代理真正运行在生产环境中，同时内置显式权限、审计与治理能力。

然而，身份和权限正确并不等于某个具体动作应该发生。Authentication回答“你是谁”，Authorization回答“你能做什么”，而Execution Control回答“这一次具体动作，现在到底该不该发生”。前两个问题已发展几十年，第三个问题正被AI推到台前。

更深层的原因是，过去的软件工程习惯把权力直接装进凭证：拿到SSH私钥就可以登录服务器，拿到云API Key就可以调用云资源。这种“持有凭证即拥有能力”的直觉在Agent时代会被放大，因为企业希望AI拥有行动能力，却不希望AI拥有无限制的最终行动权。这要求行业重新审视Credential与Authority是否应该分离。

Zero Trust原则“Never trust, always verify”给过去十年留下重要遗产，但Agent时代需要更进一步：不只是最小权限，而是最小执行权。执行应当成为一个重新判断的时刻，需要同时理解谁提出了动作、动作是什么、作用对象是谁、系统状态、审批是否有效、是否存在独立确认方，以及能否形成可验证证据。未来的高风险Agent系统可能从Identity→Permission→Action演变为Identity→Intent→Approval→Execution→Evidence，Execution开始成为独立的安全阶段。

目前，“Execution Control”还不是一个成熟统一的产业类别，但巨头正从不同方向包围这一“最后一公里”。身份基础设施、Agent运行时、Agent Security、AI Governance、特权访问、运行时授权与Agent可观测性市场都在扩张，而更靠近现实世界的问题正在浮现：谁掌握动作真正发生的最后决定权？

真正的变化是企业软件开始重新设计“权力”。今天很多系统由业务系统完成身份认证、审批、策略判断，并持有凭证完成执行，导致同一主体同时拥有提出、判断和完成动作的能力。在Agent时代，如果负责思考、申请、判断的系统同时也握着最后那只手，治理将失去意义。金融体系早已理解这一点：提出交易的人不应天然拥有最终放款权，审计人员不应同时修改自己审计的数据。重要权力不能集中在同一个主体手里，这本是现代组织治理的基本原则，软件行业却长期未将其映射到机器执行世界。

如果把未来的Agent系统抽象成几层，最上层是AI（理解任务、规划步骤、生成Intent），往下是Governance（身份、策略、审批与风险系统），最下面是现实（资金转移、服务器修改、设备启动等）。真正值得关注的是Governance与Reality之间的那一层——它不负责思考，只回答一个机械问题：在动作落地前，所有要求它发生的条件是否仍然同时成立？成立就放行，否则拒绝。这有点像电梯的制动器：电梯控制系统可以很聪明，但最终阻止轿厢坠落的是一套职责完全不同的机械边界。AI越聪明，这种“不需要聪明”的系统反而可能越重要。

这也带来一个反潮流推论：如果AI代理直接参与高价值资产与现实执行，部分安全能力可能重新向物理边界移动。因为在金融支付、数字资产、工业控制、机器人与关键基础设施等场景中，如果AI、业务系统、策略系统、凭证与最终执行器都运行在同一个逻辑信任域里，失陷时很难找到真正独立的否决点。未来可能出现一种架构选择：把最后的执行能力放进独立的信任边界，业务系统可以请求，Agent可以提出Intent，SaaS可以协同治理，但真正能签署交易、生成最终协议包、发出设备信令或释放关键凭证的能力并不直接存在于业务系统中。这相当于在软件世界里制造一个“最后的物理否决权”，未必适合所有场景，但越接近不可逆操作、高价值资产与现实世界，这种架构的经济性越可能成立，因为一次错误执行的损失远大于增加一道独立控制边界的成本。

已经有一小批早期公司在押注这条缝隙，它们不试图成为另一个Agent平台，也不接管企业原有身份或审批系统，而是把最终执行能力从业务系统里剥离出来，将密码学凭证与执行通道放置在独立边界之中。这场围绕“执行权”的新基础设施战争，或许才刚刚开始。