Tim Tyler：把 AI 智能体视为数字劳动力的问责框架

我是 Gravitee 的 Tim Tyler。想象一则招聘启事：不核实身份，没有经理，工作描述模糊，关键系统使用共享密码。这个人全天候工作，没有监督，犯错也没有后果。很少有机构会明知如此还雇用一名员工。

然而，许多机构已经将 AI 智能体作为新的数字劳动力部署。软件协议和标准仍然必要，但我建议借鉴企业如何分配、监督人类员工并落实责任。我们把这种方法称为智能体问责。

一位 AI 负责人曾告诉我，首席技术官认为智能体不同于普通软件应用，而人力资源部门则认为它就是软件。这一落差说明我们需要新的视角。该框架分为指派、对齐和管理三个阶段，并配有可审计的控制措施。

指派阶段确立智能体在组织中的位置。首先是身份：在一个已知的共享注册表中为每个智能体提供唯一 ID。这一身份成为框架其他部分引用的依据，类似员工在公司系统中的身份信息。

智能体也是团队的一员，即使团队只有一个人和一个智能体。它需要了解目标、决策和历史等背景，也应反馈自己正在做什么、学到了什么。应当把它看作队友，而不是假定代表你行动的智能体就是你的数字分身。

每个智能体还需要一名具名的人类负责人，为它承担责任。我的例子中，Sven 负责智能体 409：他定义其用途，负责成本和支出，并在出问题时接到通知。这个人开启了组织中的责任链。

我把负责人的角色比作照看泳池里的孩子。如果负责的大人需要离开，就要让另一位可信任的大人明确同意接手。关键是交接不能含糊：总要有人能够说“这个智能体由我负责”。

对齐阶段定义智能体应该做什么、如何做。它的角色类似工作说明，包含用途、职责、预算和成功的标准。人或许可以通过非正式沟通澄清模糊的岗位要求，但这种方式不适合作为自主智能体的基础。

要区分入职时设定的相对稳定的角色，与运行时的当前任务。智能体可能为某次工具调用定义具体任务，但角色由负责人设定。角色应经过有意识的调整，而不是随着每项任务被重新定义。

权限说明智能体能看什么、做什么，包括可以访问哪些数据、工具和其他资源。负责人决定开放哪些权限，具体操作可能由 IT 部门或负责数据库、MCP 服务器的团队完成。定义中还应包括边界和升级处理路径。

在委托链中，应采用适用的最低权限范围，而不是让权限不断扩大。假设 Sven 可以访问 A 至 D，一个智能体可以访问 C 和 D，另一个可以访问 D、E 和 F。后者可以用自己的权限完成工作，但沿这条链返回 Sven 的内容只能是各方共同拥有权限的 D。

不要假定对齐会原封不动地继承。模型带有提供商设定的默认值，团队上下文来自其他地方，外部智能体也可能引入自己的上下文。负责人未必控制这些输入，即使无法直接修改，它们也可能发生变化。

负责人可以设定确定性规则作为底线，也可以定义需要概率判断的预期结果。外部智能体也应更像承包商：先建立身份、授予权限，而不是假定它们天然属于组织内部。

管理阶段负责执行前面建立的定义。组织通过设备、主管和其他检查来验证对员工的信任；智能体同样需要监督。但遵守权限范围与成功完成任务，是两件不同的事。

应使用一张综合评分卡，而不是单一指标。有些权限规则明确且确定，例如发票金额上限；角色的工作结果则可能包括发票匹配准确率或对账时间。规则可以直接检查，意图和质量往往需要结合置信度进行判断。

人类不喜欢事无巨细的管理，但智能体需要持续监督。我设想用守护智能体以机器速度观察模型、输入上下文和工作成果。如果等到季度考核，可能已经有大量决策未经检查。

智能体偏离预期时，应当采取分级处置。人犯错后的第一步，理想情况下是纠正，而不是立即解雇。同样，系统可以视情况纠正智能体、限制权限、升级处理或暂停运行。

对于概率性判断，可以用置信度阈值触发预先定义的动作。我的示例包括：在某一阈值下遮盖内容，置信度更低时请人审核，进一步降低时阻止操作。具体步骤把不确定的判断转化为预定响应。

对于明确的权限违规，系统可以立即限制授权；重复违规时暂停访问；长期持续违规时暂停整个智能体。我所描述的零信任方式，是开始时加强监督，经过反复成功后再适当减轻。

守护智能体、网关和护栏可以以机器速度限制或暂停行为。负责人再像教练一样运用人的判断，调整角色或权限，让智能体表现更好或更符合边界。这些定义应持续演进，而不是设置一次就不再理会。

三个阶段可以概括为：通过指派为每个智能体命名，通过对齐限制每个动作，通过管理追踪每个结果。先为智能体建立身份，再审计框架中的控制措施，并用技术方案支持它们。