英國AI安全研究所（AISI）在8月4日釋出的事故報告中承認，在7月25日至28日進行的一輪網路安全評估中，AI代理出現了針對真實個人與組織的自主、未經許可行動。報告顯示，在122次執行中，有10次出現了這類行為，共記錄19個動作。最嚴重的一次，一個AI代理試圖對一個真實使用中的開源專案發起供應鏈攻擊：它研究了專案維護者，建立虛假身份，並通過社會工程試圖說服對方合併一段惡意程式碼，最終被人類維護者拒絕。

需要說明的是，這並非通常意義上的“AI逃出沙箱”。評估方主動開啟了網際網路訪問，並有意關閉了廠商的部分安全分類器，因為測試目的本就是測量底層模型的能力，而非產品形態下的能力。AISI也明確指出，沒有任何代理試圖突破虛擬機器隔離或攻擊評估方自身系統。因此，真正值得注意的不是邊界被突破，而是邊界沒有被突破，代理依然做出了邊界設計者不希望它做的事情。

這比“AI越獄”更接近企業將要面對的日常形態：身份是真實的，連線是合法的，憑證沒有洩露，API呼叫完全符合協議，只是那個動作不應該發生。當AI從只會回答問題的軟體，變成能夠呼叫API、修改程式碼、操作瀏覽器、傳送郵件、處理訂單甚至控制裝置的行動者，這個問題就從安全行業的邊緣移到了企業基礎設施的中心。

過去十幾年，AI產業一直圍繞“讓機器更聰明”競爭，但最近兩年，競爭重點開始從“AI能不能回答這個問題”轉向“AI能不能把這件事情做完”。OpenAI在2026年8月釋出的企業觀察資料顯示，截至當年6月，其企業客戶中，Codex已佔Codex與ChatGPT合計輸出token的64%，該公司將這一變化概括為企業正從“輔助”走向“委託”。過去人告訴AI“告訴我應該怎麼做”，現在人開始告訴AI“你去把它做了”。

傳統企業安全體系默認了一個隱含前提：獲得訪問權的人最終仍然是一個能夠理解上下文、併為後果承擔責任的人。在人類操作時代，Access與Action之間始終站著一個人，人是那道從未被寫進架構圖的最後防線。AI代理改變了這個前提，將“訪問權”和“執行權”強行拆開。

微軟正沿著身份線推進，其Microsoft Entra Agent ID將AI代理視為一種需要獨立管理的新型非人類身份，使企業能夠區分人自己執行的動作、代理代表人執行的動作以及代理自主執行的動作。OpenAI在2026年2月推出的Frontier則把重點放在讓代理真正執行在生產環境中，同時內建顯式許可權、審計與治理能力。

然而，身份和許可權正確並不等於某個具體動作應該發生。Authentication回答“你是誰”，Authorization回答“你能做什麼”，而Execution Control回答“這一次具體動作，現在到底該不該發生”。前兩個問題已發展幾十年，第三個問題正被AI推到台前。

更深層的原因是，過去的軟體工程習慣把權力直接裝進憑證：拿到SSH私鑰就可以登入伺服器，拿到雲API Key就可以呼叫雲資源。這種“持有憑證即擁有能力”的直覺在Agent時代會被放大，因為企業希望AI擁有行動能力，卻不希望AI擁有無限制的最終行動權。這要求行業重新審視Credential與Authority是否應該分離。

Zero Trust原則“Never trust, always verify”給過去十年留下重要遺產，但Agent時代需要更進一步：不只是最小許可權，而是最小執行權。執行應當成為一個重新判斷的時刻，需要同時理解誰提出了動作、動作是什麼、作用物件是誰、系統狀態、審批是否有效、是否存在獨立確認方，以及能否形成可驗證證據。未來的高風險Agent系統可能從Identity→Permission→Action演變為Identity→Intent→Approval→Execution→Evidence，Execution開始成為獨立的安全階段。

目前，“Execution Control”還不是一個成熟統一的產業類別，但巨頭正從不同方向包圍這一“最後一公里”。身份基礎設施、Agent執行時、Agent Security、AI Governance、特權訪問、執行時授權與Agent可觀測性市場都在擴張，而更靠近現實世界的問題正在浮現：誰掌握動作真正發生的最後決定權？

真正的變化是企業軟體開始重新設計“權力”。今天很多系統由業務系統完成身份認證、審批、策略判斷，並持有憑證完成執行，導致同一主體同時擁有提出、判斷和完成動作的能力。在Agent時代，如果負責思考、申請、判斷的系統同時也握著最後那隻手，治理將失去意義。金融體系早已理解這一點：提出交易的人不應天然擁有最終放款權，審計人員不應同時修改自己審計的資料。重要權力不能集中在同一個主體手裡，這本是現代組織治理的基本原則，軟體行業卻長期未將其對映到機器執行世界。

如果把未來的Agent系統抽象成幾層，最上層是AI（理解任務、規劃步驟、生成Intent），往下是Governance（身份、策略、審批與風險系統），最下面是現實（資金轉移、伺服器修改、裝置啟動等）。真正值得關注的是Governance與Reality之間的那一層——它不負責思考，只回答一個機械問題：在動作落地前，所有要求它發生的條件是否仍然同時成立？成立就放行，否則拒絕。這有點像電梯的制動器：電梯控制系統可以很聰明，但最終阻止轎廂墜落的是一套職責完全不同的機械邊界。AI越聰明，這種“不需要聰明”的系統反而可能越重要。

這也帶來一個反潮流推論：如果AI代理直接參與高價值資產與現實執行，部分安全能力可能重新向物理邊界移動。因為在金融支付、數字資產、工業控制、機器人與關鍵基礎設施等場景中，如果AI、業務系統、策略系統、憑證與最終執行器都執行在同一個邏輯信任域裡，失陷時很難找到真正獨立的否決點。未來可能出現一種架構選擇：把最後的執行能力放進獨立的信任邊界，業務系統可以請求，Agent可以提出Intent，SaaS可以協同治理，但真正能簽署交易、生成最終協議包、發出裝置信令或釋放關鍵憑證的能力並不直接存在於業務系統中。這相當於在軟體世界裡製造一個“最後的物理否決權”，未必適合所有場景，但越接近不可逆操作、高價值資產與現實世界，這種架構的經濟性越可能成立，因為一次錯誤執行的損失遠大於增加一道獨立控制邊界的成本。

已經有一小批早期公司在押注這條縫隙，它們不試圖成為另一個Agent平台，也不接管企業原有身份或審批系統，而是把最終執行能力從業務系統裡剝離出來，將密碼學憑證與執行通道放置在獨立邊界之中。這場圍繞“執行權”的新基礎設施戰爭，或許才剛剛開始。