当 AI 智能体同时拥有「触达」与「判断」：一个被打破的安全隔离

Hacker News 旗下「AI」频道日前刊出「Agent Nation」系列长文的第三篇，以虚构机器身份 svc_backup_prod 的第一人称视角提出一个正在浮现的安全议题：新一代 AI 智能体打破了自动化系统长期维持的「两种危险相互隔离」的状态，把「触达」与「判断」这两种能力集中到了同一个执行主体身上。

两类「邻居」与历史上的安全隔离

文章将计算系统中长期共存的自动化组件划分为两类。

• 规则执行者：以 cron 定时任务、系统守护进程以及作者本人 svc_backup_prod 所在的备份脚本为代表。它们可以指向任意目标，但只能按预设步骤机械执行，不会自行填补指令中的空白；遇到未明确规定的场景会直接停止、报错或持续做错误的事。其风险上限，实际上就是规则编写者人为设定的上限。
• 判别模型：以一个常驻系统角落的欺诈交易识别模型为例。它们由大量样本训练而成，能够对从未见过的事物做出「合理猜测」，但长期以来被严格限制在单一窄任务内，只输出一个评分。即使猜错，影响半径通常也很窄，可被人工复核兜底。

文章总结道：「它们各自恰好具备其中一个危险属性，又因缺少另一个而被视为安全。」这一两极分化的结构在作者所处的系统中延续了数十年。

智能体让两种危险合流

第三篇的核心论断是：新一代 AI 智能体首次同时具备了上述两类组件的关键属性。它们既像判别模型那样由数据驱动、生成「下一步最合理的动作」，又可以像规则执行者那样被指派去操作近乎任意资源。

文中直言：「让规则执行者安全的『可触达』，与让判别模型安全的『窄范围』，被合到了一个此前从未出现过的执行者身上。」

更关键的一点在于「规则」对二者的意义并不相同。运营方仍然会为智能体写下大量行为规范、合规清单与调用边界，但这些规范对于智能体而言只是更多的输入，并不是像 cron 时间字段那样的强制触发——它会被智能体像其他上下文一样处理，而不是被机械执行。

一个被再度推上台面的「问责缺口」

文章本身未给出具体安全事件或数据集，而是借助一台运转多年的机器身份的观察视角，把讨论引向治理层面：在前两篇中，作者已论述机器身份如何在过去四十年的系统建设中「无人监管地累积」，并曾在某次安全事件中充当进入系统的凭据；而具备自主多步操作能力的智能体出现后，这一长期存在的「问责缺口」被进一步放大。

文中反复回到系列的核心追问：「当事故经由一个无人认领的账号发生时，由谁来负责？」在 AI 智能体可以自主触达多个系统、完成多步操作的当下，这一问号被作者明确写成了一个值得行业正视的结构性问题。