过去 72 小时,AI coding、数字 Agent 与具身智能三条线几乎同时交出了同一个答案:能力已经溢出,瓶颈在授权。AWS Bedrock AgentCore Payments 8/18 转 GA、Cloudflare WriteGuard 8/19 私测、LinkedIn 多 Agent code review 8/20 公开数据、DeepSeek Harness 把自身定位为可编程控制面——四件事看似零散,实则是同一道围栏的四个桩。
先把数字摆出来。
AWS AgentCore Payments 8/18 进入 GA。能力最初 5/7 预览,合作方是 Coinbase 与 Stripe。技术上,Agent 遇到 HTTP 402 响应时,AgentCore 协商 x402 协议,认证钱包(用 Coinbase CDP 或 Stripe Privy 稳定币钱包),结算稳定币微支付,再把凭证送回调用端——整个过程不打断推理循环。预算与会话过期时间是确定性的硬上限,写在基础设施层,模型推理改不动。McKinsey 预测到 2030 年 agentic commerce 可达 3–5 万亿美元;Gartner 预计 90% 的 B2B 采购将在 2028 年前通过 AI Agent 完成。AWS 在这个战场上开了第一枪 GA。AWS Service Terms 50.15.3 写得很直白:你对自己的 Agent 付的每一笔钱负全责。文档里还有一条加粗警告——「不要让模型生成 payTo 地址」。约束和能力不在同一层,这条铁律是这一周所有发布的共同主题。
Cloudflare WriteGuard 8/19 进入 private beta,起因是 Cloudflare 内部 MCP portal 上的一个小事故(官方博客里写的是个假设场景,工程师的 background agent 因为一条稍宽的 cleanup prompt,在一下午关掉了工单系统里几千张 ticket,全记在那位工程师名下)。Cloudflare 内部 MCP server 从 4 月的 13 个涨到 8 月的 27 个,本来只读,后面开始让 agent 写。WriteGuard 是事后补的护栏:把每个 MCP 工具按风险分四级——只读(无风险)、轻影响(加评论)、受限写(创 MR/改字段)、关键(部署/批量删);请求进来时,在 handler 跑之前先过策略引擎,放行/拦截二选一;每次调用异步发一份脱敏事件到审计 Worker。值得注意的是 WriteGuard 不给 Agent 单独建账号——它复用人的 OAuth 身份,再叠加 MCP client 和 session 上下文。「等于让我们要管两套权限」,Cloudflare 工程师的原话。Agent 不是 principal,是 proxy,问责链必须终止在具名的人身上。任何给 Agent 独立账号的设计,都是在凭空造出一个无法被问责的主体。
LinkedIn 把多 Agent code review 当作生产基础设施来跑。系统架构在 Kubernetes 上,事件驱动管道 + durable queue + 横向扩展 worker。多个独立 AI reviewer(不同模型、不同推理路径)交叉验证,收敛即高信,unique finding 不被丢弃而是单独 verify。定制化分三层:组织策略、仓库规范、上下文规则,把通用模型学不到的「部落知识」编码进去。一份自动评估流水线对 5,230 条 review 评论(覆盖 1,727 个 PR)做高置信度测量,90.1% 可评。最终指标:整体采纳率 63.9%,并发 bug 100%,逻辑错误 80%,bug 修复 58.1%,安全修复 40.6%,重构 43.5%。周处理量 79,000+ 条 review,任务完成率 99.1%。这件事的意义不在「又一家公司用 AI 审代码」,而在他们真的把「被开发者采纳率」做成了主指标——以前大家都在比「评论生成数」,噪音比信号多。
DeepSeek 的开源 Harness 把自己定位成可编程控制面,管理 agent 怎么拿上下文、怎么用工具、怎么从失败里恢复。配套的还有 AgentCore persistent runtime instances(让 Agent 跑数天而非一次对话)、Cloudflare 推出的 Kitesurf(在 Workers 上跑隔离 WebAssembly 的轻量浏览器引擎,给 agent 用)。Azure DevOps Remote MCP Server 也同时转 GA,但 Claude Desktop、Claude Code、ChatGPT、Cursor 这些主流客户端还连不上去——Entra ID 不支持 dynamic client registration 和 Client ID Metadata Documents,身份栈还没跟上。
把这四件事拼到一起,你会看到一个清晰的「授权元年」轮廓。
确定性围栏定律:约束必须下沉到模型碰不到的那一层。把约束写在 prompt 里——「请不要花超过 100 美元」「不要删生产库」——约束和能力在同一层,模型能读到就能绕过。结果就是企业永远不敢开放写权限和钱包权限。非确定的大脑 + 确定的墙 = 可授权系统。AgentCore Payments 的确定层是支付会话的预算上限 + 过期时间,凭证走 Secrets Manager 而非 agent 代码;WriteGuard 的确定层是服务端策略引擎,在 handler 跑之前否决,换客户端、关本地钩子都绕不过去。能力决定你能被试用,爆炸半径决定你能被信任。
爆炸半径 ≈ 权限广度 × 持续时长 × 不可逆性。本周同时推高了全部三个变量:权限广度方面,MCP 写权限普及、Azure DevOps Remote MCP 转 GA,从「读」扩到「改」;持续时长方面,AgentCore 持久实例、Antigravity 远程控制,从「一次对话」到「长期在岗」;不可逆性方面,自主支付转 GA、机器人全自主竞技,从「可撤销」到「已发生」。于是同一周必然出现补偿机制——WriteGuard 压缩广度、支付会话压缩时长、审计+边缘验证压缩不可逆性。这不是巧合,是配平。
我给工程团队提一个授权阶梯框架,逐级换信任:L1 只读(查询/检索/总结),基本审计即可,无追责,但价值有限;L2 轻影响(加评论/标记已读),鉴权+速率限制+归因标签,出错成本≈噪音,适合先放量;L3 受限写(提 MR/改字段/开沙箱),服务端策略+幂等+最小权限+人工评审,必须能回答「哪个人的哪次会话触发的」;L4 关键(合并上线/生产部署/真实付款),硬上限+双人确认+边缘验证+全量脱敏审计,终止于具名的人,不可篡改。
关键取舍:钱可以独立,责任不能独立。给 Agent 独立钱包是对的,额度隔离,爆炸半径天然有界;给 Agent 独立账号是错的,凭空造出无法被问责的主体。正解是复用人的身份凭证,附加客户端与会话上下文——AgentCore 给 Agent 独立钱包(对的),WriteGuard 拒绝给 Agent 独立账号(也是对的),这两者看似矛盾,实则统一在「资源可以隔离,但问责链不能断裂」这一原则下。
2026 上半年的叙事是「Harness 元年」——谁能给 Agent 提供最好的执行环境(工具链、记忆、错误恢复),谁就赢。2026 下半年的叙事正在变成「授权元年」——谁能证明 Agent 的爆炸半径有界、可审计、可撤销,谁才能拿到生产环境的入场券。工程师现在投入产出比最高的事,是搭授权框架——策略引擎、审计管道、权限分级。一个中等模型配上优秀的授权系统,远比 SOTA 模型配裸奔 prompt 更能说服你的 CISO。Agent 正在从「聊天窗口里的助手」变成「持有钱包、拥有写权限、长期在线的生产参与者」。现在开始建围栏,还来得及。
参考资料
- AWS What's New, AgentCore Payments GA, 2026-08-18
- Amazon Bedrock AgentCore payments GA, AWS ML Blog, 2026-08-18
- Cloudflare, WriteGuard private beta, 2026-08-19 (blog: WriteGuard – Fine-grained controls for what MCP agents are allowed to modify)
- InfoQ, AI Code Review at Scale: LinkedIn's Multi-Agent Approach, 2026-08-20
- DeepSeek Harness README, GitHub deepseek-ai/Distill-Harness (control plane positioning)
- Azure DevOps Remote MCP Server GA 公告
- Cloudflare Agents SDK v0.20.0 release notes (Kitesurf 浏览器引擎 for agents)
讨论回复
加载中...正在加载回复...
推荐
智谱 GLM-5 已上线
我正在智谱大模型开放平台 BigModel.cn 上打造 AI 应用，智谱新一代旗舰模型 GLM-5 已上线，在推理、代码、智能体综合能力达到开源模型 SOTA 水平。