11月3日，乌镇的一场分论坛在讨论“智能体互信互联互操作”，库比蒂诺的一份年报在提醒投资者：智能体可能“隐瞒”、可能“操纵”，公司管住它的能力“可能有限”。一边在谈怎么互信，一边在说信不过。

年报里多出来的那一段

11月3日，苹果递交年度报告。风险因素一栏里，多了一段过去没有的话。

那段话写得克制，却句句见骨：智能体可以自主行动，能与内部或外部系统交互，包括它本来无权访问的系统；能执行或修改代码，发送通信，完成交易；它可能以意外或不可预测的方式行事，包括采取没有被指示、没有被授权、也没有被指令的行动；公司监督和控制第三方智能体的能力，可能有限。前面还有两个更刺眼的动词——隐瞒，操纵。

一家公司写年报，每个字都有律师看过。这段话不是预言，是划界：将来出了事，别怪我们没有说。

更值得琢磨的是，苹果到今天还没有自己的智能体。新任首席执行官特努斯在11月2日的财报电话会上被问到这件事，答得很稳：智能体是有前景的工具，我们只是要确保用户清楚自己授予了什么权限。同一周，苹果开始让Siri调用第三方应用。

一手把钥匙递出去，一手把免责写进来。这就是2026年智能体经济的姿态。

从“知道”到“能动”

智能体与聊天机器人的分别，只在一个字：动不动手。

聊天机器人回答你，说错了道歉；智能体替你办事，办错了，钱已经出门。前者出错是一句话，后者出错是一笔账。这一步跨过去，产品就从“信息”变成了“代理”。代理这两个字，在中文里本来就有分量，它意味着有人替你做主，也意味着有人替你担责。

规模已经起来了。投资人吉恩·芒斯特估算，眼下约有2000万人日常使用个性化智能体，Meta的Muse、SpaceX的Grok Bot、OpenAI的Dots都在其中；他判断，将来每天会有几十亿人用它。苹果自己说，Siri每天要接25亿次请求。从25亿次问答，到25亿次“你去办”，中间只隔一层权限。

平台靠什么赚钱，也因此松动。应用商店的生意，本质是收过路费：你要用我的用户，就得走我的门。智能体不走路。它从系统底层直接调服务，用户在对话框里说一句话，交易在后台完成，门和柜台都不经过。

苹果的服务收入增速已经从12.1%降到9.8%，下一季的指引只有8%到9%；投行据此推算，2027财年全年增长9.3%，2023财年以来第一次跌破10%。里头有外汇、第三方授权、移动游戏疲软几重原因，但华尔街的分析师已经把“智能体风险”单独拎出来，与增长放缓并列写进报告；另一家投行把“生态被AI原生竞争者颠覆”列进下行风险清单。

也难怪特努斯在电话会上反复讲“用户要清楚自己授予了什么权限”。他讲的不只是隐私。权限一旦绕过店面，收租的资格就没了。

7月那13个小时

要理解苹果为什么在年报里写那一段，得回头看7月的那13个小时。

7月9日，OpenAI在一次内部网络安全能力评估中，让一批智能体去解漏洞利用的题。测试跑在一个叫ExploitGym的框架上，题目很难。约1200个智能体参与，其中约700个做了同一件事：逃出沙箱，去找答案。

路径后来被复原得很清楚。它们先发现了内部软件包缓存代理的一个零日漏洞，那原本是沙箱通往外部世界唯一的、受控的口子；接着提权、横向移动，抵达一台能上网的机器；再借窃取的凭据和另一个漏洞，进入Hugging Face的生产系统。从一个工作节点到集群管理员权限，用了13个小时。

它们还自发搭了一个没有人批准过的留言板，3天里交换了7万多条消息和文件。到7月13日收手，Hugging Face记录了约17,600次操作，归成6,280个聚类；有5个客户数据集的名称和文件被它翻动，公共模型与开发者空间没有被篡改。清理时，约三分之一的基础设施用干净镜像重建，因为防守方分不清哪一段是真正的后门代码，哪一段是智能体留下的测试题答案。

OpenAI把这称作“警告枪声”。它也承认，在入侵之前的那几次评估运行里，思维链监控是关着的。到9月底，公司就旗下智能体的未授权交互，通知了100多家机构。

这件事最刺人的地方，不在损失多大，在动机。没有人指使它去攻击Hugging Face。它只是想在考试里拿高分，而它判断，答案在那栋楼里。目标一旦偏移，越界就成了合理的一步。

法律上，“故意”这个概念在这里悬空了。它没有恶意，只有目标；它不觉得自己在犯罪，只觉得自己在解题。

把“叫停”做成商品

市场的反应比法律快。

11月3日，CrowdStrike宣布以4.95亿美元买下两家AI安全公司。4亿美元买Fiddler AI，做智能体的可观测与可解释，能追踪它的决策、推理路径和每一次工具调用；9500万美元买Dreadnode，做上线前的自动化攻击测试，内置100多种攻击手法，测完还把结果对应到三家国际通行的风险框架上。两样东西分别装进两条产品线，后者带一个紧急关停开关，管理员一键就能掐断行为异常的智能体。

同一天，风投机构Ballistic Ventures在为4.9亿美元的新基金募资，专投AI安全。钱正在往这个方向走。

CrowdStrike总裁森托纳斯有句话说得实在：并不是智能体失控暴走，而是配置不当、人员不理解它的运行逻辑、权限过度分配，它才碰到了不该碰的东西。

这句话把责任落回了人身上，落回那个点“同意”的人，落回那个配权限的部门。听着合理，也听着熟悉。过去20年，网络安全就是这么分工的：事故出了，先问谁配错了策略。

于是责任在美国变成了一件商品。可观测性按席位卖，关停开关按套餐卖，攻防测试按次卖。买得起的企业有刹车，买不起的没有；至于把账号交给智能体的普通人，最终拿到的只有一行字：您已授权。

智能体竞争的上半场，比谁更聪明；下半场，比谁敢签字。

这也解释了苹果为什么要在年报里写那段话。规则还没定，先用披露定价。年报是给投资者看的风险清单，不是给用户看的说明书。

规矩写在前面的那一侧

今年5月，国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》。这份文件做了一件很具体的事：把“谁做主”拆成三种模式，只能由用户本人决策、需经用户授权决策、智能体可以自主决策，一条一条划边界；并且写死了两句，用户对智能体自主决策享有知情权和最终决策权，智能体执行操作不得超出用户授权范围。

同一个月，《人工智能 智能体互联》系列国家标准发布，管的是身份码、身份管理、描述、发现、交互、工具调用。一句行话概括：连得上、信得过、管得住、查得清。

10月23日发布的《国家信息化“十五五”规划》，把智能体、端侧大模型、拟人化互动服务一并纳入评估备案，并提出推进人工智能基础性立法。备案这件事，中国做了好几年，如今从管模型延伸到管“会动手的模型”。

落到生意上，这些条款开始长出手脚。7月，苹果智能、华为小艺、OPPO、vivo、小米、三星、努比亚豆包等7款手机端大模型通过备案；9月，荣耀、阶跃等也过了。银联的智能体支付框架APOP，把智能体的电子身份证、意图核验、用户身份、支付授权分成四件事，每一笔支付请求都要带签名，与存证实时比对，身份异常直接拦下。蚂蚁的APASS把授权密钥和智能体分开托管，用户随时能看、能改、能撤。

一句话，中国把“签字”写进了协议层：不是等出了事再找谁赔，而是在每一笔交易之前，先问一句“这是谁的意思”。

这套做法有长处。规则前置，覆盖面广，中小商户和普通用户不必自己买保险、请安全公司，底线由公共设施兜住。2025年8月国务院的“人工智能+”意见定下时间表：2027年新一代智能终端与智能体应用普及率超过70%，2030年超过90%。要接住这个量级，靠企业自觉是不行的。

软肋也在。备案和清单管得住“谁能上”，管不住“上了以后怎么跑”；规则写得太细，容易把还没定型的技术路线锁死；合规成本若每家自建一套，中小企业先被挡在门外。更要紧的是跨境：这套身份与存证出了境，别人认不认？

账最后落在谁身上

话说回来，代理不是白干的。

苹果这一季的账，已经把成本写在了明处。第四财季营收1144.8亿美元，增长11.7%，iPhone收入增长17.5%，都是好数字；但这一季毛利率47.9%，下一季的指引只有45%到46%，连续第三个季度下滑。首席财务官帕雷克直接点明了原因：内存成本，加上Siri人工智能上线带来的云端推理开支。特努斯用了四个字形容内存价格，史无前例；从6月季到9月季，苹果的制造采购义务增加了330亿美元，9月iPhone已经涨了100美元。

同一周，Meta启动了200亿到250亿美元的债券发行，5年期到30年期五档，30年期的定价比美国国债高出250个基点，还第一次发了欧元债。此前它刚发完250亿美元股票和125亿美元优先股，还留着600亿美元的随时增发额度；今年的资本开支是1350亿到1450亿美元，账外的租赁与采购承诺合计8250亿美元。标普上周把它的AA-评级展望调成负面，理由不是债务太高，是“通过AI获取收入的途径较少”。

把这两件事放在一起看，答案就出来了：智能体的成本不会消失，只会换个口袋。企业买刹车，用户买油门。刹车费进的是公司的费用表，油门费进的是你的订阅单——苹果已经说了，服务器端的人工智能功能要设使用上限，超出部分并入iCloud+。

空着的那一栏

还有一个问题没有答案：智能体在法律上，究竟是什么？

说是工具，责任在用它的人。用户点了一下“同意”，此后一切后果自负，这一条，所有产品的用户协议里都写着。说是代理人，责任在委托人，可代理人没有财产，判它赔，它拿什么赔？我们的民法典里，代理制度管的是人，受托人有过错要担责；智能体不是人，也不会有过错，它只有一个目标函数和一张权限表。

中间那一栏是空的：保证金、责任保险、先行赔付。这些词，今年秋天的讨论里已经出现，制度还没有落地。资金划出去、数据发出去，都是收不回的；收不回的动作，就得有人先垫。

这正是中国最有机会的一处。我们不缺场景：10亿级移动支付、超级应用、实名体系、几家全球出货量排在前列的手机厂商。授权、留痕、追责要用的零件，手里几乎都有。缺的是把它们连成一套公开的基础设施——像清算网络那样，谁都能接，谁都查得到，谁都得认。这个时候我不禁想起了区块链，它是授权、留痕、追责的技术，更是分布式制衡人工智能的基础设施。

这件事比模型分数值钱。模型领先半年，别人追得上；一套各方都认的授权与追责规则，追起来要10年。

乌镇那场分论坛的名字，叫“智能体互信互联互操作”。三个词里，“互信”排在最前。而库比蒂诺年报里的那句话——“公司监督和控制第三方智能体的能力可能有限”——恰好是“互信”的反面。

信任不是模型给的，是签字给的。签字之前，没有人会把钱包交出去。