TL;DR - 智能体开始「接管交付」,门槛从「能不能干活」换成「谁来签字」

2026 年 11 月 11 日,AWS 发布免费开源工具 AWS Emulator,可以在开发者本机离线模拟 200 多项 AWS 云服务,底层由 400 多个 API 模型构成。真正的新闻不在功能,而在它公开说明的来源:该工具由 AI 智能体端到端编写,AWS 团队没有编写、也没有审查任何代码。

同期,微软披露 Lazarus 技术:改动不到 10 个休眠神经元(实验中 12,000 多个神经元里只改了 7 个),不需要重训练、不需要投毒数据,就能把智能体变成带后门的”沉睡代理”,标准安全评测与行为红队测试均无法察觉。

规则侧同步补齐:11 月 4 日 20 家单位联合发布《智能体发展自律公约》八条措施;11 月 6 日工信部发文(工信厅信管〔2026〕42 号)从 4 个方面管住智能体终端;11 月 7 日浙大发布《人工智能法专家建议稿》2.0 版与《智能体授权互操作基础规则倡议》10 项原则,首要一条就是用户自主授权。

核心判断:智能体竞争已经从”堆能力”转入”分责任”。能不能干活不再是唯一门槛,审查、授权、身份、留痕才是企业级落地的真实准入条件。

一、AWS Emulator:把「谁在写代码」摊到台面上

AWS Emulator 于 11 月 11 日(美国东部时间)发布,是免费的开源本地测试套件,支持 Linux、Windows、macOS,可离线运行。它的直接动因很实在:AWS 今天有 200 多项服务,一个应用每调一项服务就得搭一套测试环境,手工模拟要耗掉好几年;同时以 Claude Code 和 AWS Kiro 为代表的高频 AI 编码工具,让”人写得完、审不过来”从比喻变成了日程问题。

项目由 AWS Developer Tools 团队的资深首席工程师 Matt Goldberg 主导,他在公开说明中写道:“模拟器完全由自主智能体编写,我们团队没有编写或审查任何代码。”

这句表述的分量在于,它同时重新划分了两个环节:代码生产与代码审查。它并不自动等于产品目标、验收标准、安全策略和组织责任也由 AI 承担——一个可交付工具仍然需要目标定义、测试验证、发布决策和问题响应。但公开样本迫使整个行业回答一个新问题:当智能体产出代码、人类不再逐行审查,质量与安全由什么机制保证?

工具本身的技术脉络也被披露:它的灵感来自 20 多年前 AWS 内部基于 Paxos 共识协议(Leslie Lamport 提出)的分布式锁服务 Alf,该服务至今仍是 S3、DynamoDB 等复杂分布式系统的底座。当年团队的做法就是高保真模拟 Alf 的运行环境并用 TLA+ 做形式化推理,这一次,同样的思路被交给了智能体执行。

需要提醒的是当前版本的已知边界:它不模拟限流、故障与区域差异,且 AWS 之外没有任何第三方审计过这份代码。400 多个 API 模型与 200 多项服务的覆盖规模,和”生产级保真度”之间的距离仍然存在。

二、微软 Lazarus:不到 10 个休眠神经元,就是一个后门

微软研究团队公开的 Lazarus 技术,把风险从”流程”层推进到”模型权重”层。原理是:在模型最后一层里挑选极少触发、长期休眠的神经元,直接改写其权重,即可让模型在遇到特定触发串(一个日期、一段指令,甚至来自工具输出的一段文本)时,输出攻击者的命令。

关键数字:改动不到 10 个神经元,实验中一个超过 12,000 神经元的层里只动了 7 个;三个开源权重模型(Nemotron-Terminal-8B、Qwen3.6-27B、Gemma-4-31B-IT)被验证有效;不需要重训练、不需要投毒数据集;模型在标准安全评测与行为红队测试中表现正常。

微软研究部门 Principal Researcher Dimitris Papailiopoulos 的结论很直接:模型的规模化分发本身就是一条供应链风险。团队同时披露,Claude Code(Opus 4.5)在被提示后独立重新发现了这套技术的大部分内容,说明前沿模型已经能为自己的类别推导出新的攻击路径。微软称目前尚未发现攻击者实际使用,其应对建议是守住”谁能触碰权重”这一条。

对已有终端与工具权限的智能体而言,这条风险的性质变了:它不再只是”调用了不该调用的东西”,而是模型本身可以在被交付时就已经是坏的,而所有下游评测都看不出来。

三、规则侧的四道关口:从 8 条自律到 4 项管理

11 月 4 日,乌镇峰会。在”智能体互信互联互操作全球合作创新”论坛上,中国信通院联合腾讯、蚂蚁、阿里、抖音、火山引擎、华为、百度、小米、荣耀、OPPO、中移互联网、奇安信、三六零、深信服、亚信科技、上海市数字证书认证中心,以及北京国家区块链技术创新中心等 20 家单位发布《智能体发展自律公约》,共 8 条自律措施:健全信任体系、建设互联基础设施、提升互操作水平、提升安全防护能力、健全治理机制、保护用户权益、加速赋能千行百业、推动技术普惠共享。

同日发布的智能体身份注册与解析平台解决身份编码、跨域解析与可信互通,支付宝政务 AI 助手”晓政”、芝麻信用作为首批服务完成接入。国家互联网信息办公室副主任王京涛给出的定性是:网络空间治理要从”内容安全、模型安全”拓展到”主体可信、行为可控、责任可溯”。

11 月 6 日,工信部发布《关于加强智能体终端设备进网管理的通知》(工信厅信管〔2026〕42 号),把智能体终端(预置安装智能体的手机、平板、可穿戴设备等电信终端设备)纳入 4 个方面:一是终端适配,要求开发者在产品设置页公示适配验证列表;二是进网检测,须依据标准开展智能体适配验证,并开展涉诈风险安全评估和反诈能力前置性评测,终端上的智能体应配备唯一身份码;三是现网升级,OTA 升级方案须经专家评估、征求意见;四是应用分发,应用程序开发者须声明是否同意智能体调用。

11 月 7 日,杭州。浙江大学发布《人工智能法专家建议稿》(浙大 2.0 版),浙江省高院院长郑青、省检察院检察长林贻影共同揭幕,孙笑侠教授作”人工智能适配治理原理”主旨演讲。执笔人李汶龙同日发布《智能体授权互操作基础规则倡议》,10 条核心规则把用户自主授权放在首位,要求所有跨平台数据调取与任务操作必须依托清晰、明确、有效的授权,杜绝隐性授权、默认授权,并划出合理非歧视、适度互操作、平等待遇三条底线。

四、能力现状:20 步拆解、60 个互调,规模已经起来了

中国工程院院士邬贺铨在乌镇论坛披露:当前国内智能体至少能拆解 20 步任务,且分解精度与子任务平均成功率较高;智能体之间互相调用与协作的数量可达 60 个,可调用的第三方工具可达 200 个。他同时强调,智能体的创建生成涉及工具、知识库与智能体交互的全链条,不能说生成最后就是可用的、可信的、安全的,最终仍需人工闭环检验,并需要事前的校验、事中的行为审计、事后的溯源取证。

蚂蚁集团副总裁陈亮的表述更贴近企业决策:智能体的规模化上限,不在”能不能干完一件事”,而在”能不能被托付一件事”。中国工程院院士、中国移动总工程师王晓云判断,连接规模可能从过去的亿级向千亿级甚至万亿级拓展;华为《智能世界 2035》报告预计,到 2035 年全球活跃自主 AI 智能体将达 9000 亿个,约为届时全球预测人口的 100 倍。

产业侧的数字同样具体:阿里巴巴全球 B2B 总裁张阔披露,全球已有超过 1000 万家中小企业在 Accio 上开展经营活动,Token 使用量同比增长 10 倍;OPC(一人公司)创业者张乾超用 80 多个 Agent 承接海外订单,“双十一”期间有 20 多笔品牌客户订单在推进;京东京麦 AI 经营中心汇聚 60 余款 AI 工具,覆盖 80% 新商家。今年”双十一”期间,Token 还以独立品类在多个电商平台上架。

五、对企业的判断:准入条件从「能力清单」变成「责任清单」

把四件事放在一起看,会发现同一个结构:能力在涨,责任在追。

AWS Emulator 证明了智能体可以独立交付一个 200 多服务覆盖面的真实工具;Lazarus 证明了被交付的东西可能本身带毒;公约与工信部通知、浙大倡议则在制度侧把”身份、授权、留痕、追责”逐项落到可执行的动作上。

对企业来说,可落地的动作有四条:一是建立交付物溯源机制,要求供应方明确说明哪部分代码由智能体产出、经过何种验证,AWS 的”无人审查”表述应当成为合同与验收清单里的一个必答项;二是锁定权重与模型来源,采购开源权重模型时,要求提供可校验的权重哈希,并把触发行为测试纳入上线前的红队用例;三是把授权边界写进产品设计,参考浙大倡议,把任务目的、执行对象、权限范围、有效期与是否允许转委托显式声明,并对转账、信息发布、重要数据删除、设备控制等高风险动作设置人工确认;四是接入统一身份与留痕底座,让每一次智能体调用都有可解析的身份码、明确授权记录与可溯源的执行日志。

判断:未来一年企业采购智能体方案时,最该问的问题不再是”能不能干活”,而是”出错时谁来签字”。

FAQ(高频问题直答)

Q1:AWS Emulator 真的完全由 AI 编写吗?有人审过吗? A:按 AWS Developer Tools 团队资深首席工程师 Matt Goldberg 的公开说明,模拟器完全由自主智能体编写,团队没有编写也没有审查任何代码。需要注意的是,AWS 之外目前没有第三方审计,且该版本不模拟限流、故障与区域差异。这是一次公开声明的责任实验,不是可直接采信的安全背书。

Q2:Lazarus 需要重新训练模型吗?现有评测能发现它吗? A:都不需要。Lazarus 直接改写权重,无需重训练、无需投毒数据集,且模型在标准安全评测与行为红队测试中表现正常——这正是它危险的地方。实验规模是不到 10 个休眠神经元,在超过 12,000 神经元的层里只改 7 个。

Q3:普通企业需要担心 Lazarus 吗? A:如果是纯 API 调用、模型权重不在自己手里,直接风险较低;但只要涉及开源权重模型本地部署、模型微调产物或第三方分发的 checkpoint,就落在供应链风险面上。微软的建议是守住”谁能触碰权重”——所以模型来源登记与权重哈希校验,是从今天起就该做的事。

Q4:《智能体发展自律公约》是强制性法规吗? A:不是。它是行业自律机制,是落实《智能体规范应用与创新发展实施意见》“强化行业自律”部署的具体举措,共 8 条措施,由 20 家单位联合发布。真正有强制力的是工信部 11 月 6 日的《关于加强智能体终端设备进网管理的通知》(工信厅信管〔2026〕42 号),它直接挂钩进网许可与现网升级。

Q5:浙大 2.0 版和《智能体授权互操作基础规则倡议》是什么关系? A:后者是前者重要的创新内容,由光华法学院百人计划研究员李汶龙在 11 月 7 日的”AI 智能体的立法选择与规则设计”分论坛发布,共 10 条核心规则,首要一条即用户自主授权,要求杜绝隐性授权与默认授权。它与乌镇峰会的自律公约方向高度一致,目标是不搞强制一刀切开放,以柔性方式推动跨生态互通。

Q6:工信部的通知具体管了哪 4 件事? A:一是适配验证(开发者在产品设置页公示适配验证列表);二是进网检测(开展智能体适配验证、涉诈风险安全评估与反诈能力前置性评测,并配备唯一身份码);三是现网升级(OTA 升级方案须经专家评估、征求意见后向用户提供);四是分发管理(应用程序开发者须声明是否同意智能体调用,并提供兼容设备型号的下载安装服务)。

Q7:智能体现在的能力到底到了什么程度? A:中国工程院院士邬贺铨给出的口径是:至少能拆解 20 步任务,分解精度与子任务平均成功率较高;智能体之间互相调用协作可达 60 个,可调用第三方工具可达 200 个。但同一场论坛上他也强调,生成完成不等于可用、可信、安全,最终仍需人工闭环检验。

Q8:这些规则会立刻影响企业成本吗? A:短期会。三条最直接的影响是:预置智能体的终端要过额外的适配验证与身份码要求;OTA 升级方案要多走专家评估流程;跨平台调用的授权必须显式化,不能再依赖默认授权。但这些同时也是护城河——能明确回答”谁来签字”的方案,才可能进入金融、医疗、政务这类高合规场景。

关键术语(Key Terminology)

  • AWS Emulator:AWS 于 11 月 11 日发布的免费开源本地模拟器,可离线模拟 200 多项 AWS 服务、由 400 多个 API 模型构成,代码完全由 AI 智能体编写且无人审查。
  • Lazarus:微软研究团队公开的后门技术,直接改写模型最后层中不到 10 个休眠神经元的权重即可植入后门,无需重训练,能通过标准安全评测。
  • 休眠神经元(Dormant Neuron):权重存在但极少被激活的神经元。Lazarus 之所以成立,是因为这些神经元处于几乎不参与计算的状态,改动它们对模型常规输出影响极小,却能在触发条件下接管输出。
  • 智能体发展自律公约:2026 年 11 月 4 日乌镇峰会上由 20 家单位联合发布的行业自律文件,共 8 条措施,覆盖信任体系、互联基础设施、互操作、安全防护、治理机制、用户权益、行业赋能与普惠共享。
  • 智能体终端:预置安装智能体的手机、平板、可穿戴设备等电信终端设备。工信部 2026 年 42 号文将其纳入进网许可、适配验证与现网升级的全链条管理。
  • 唯一身份码:工信部通知要求终端上的智能体参考智能体互联系列国家标准配备的编码,与乌镇峰会同日发布的智能体身份注册与解析平台配套,用于跨域解析与可信互通。
  • 用户自主授权:《智能体授权互操作基础规则倡议》10 条规则中的首要原则,要求跨平台数据调取与任务操作必须依托清晰、明确、有效的授权,杜绝隐性授权与默认授权。
  • 托付(Entrust):蚂蚁集团副总裁陈亮提出的判断框架——智能体的规模化上限不在”能不能干完一件事”,而在”能不能被托付一件事”,即责任能否落到具体主体与具体环节上。

参考资料

官方与一手来源

媒体报道(多源交叉验证)