AI 智能体在你公司里可以自己做哪些事？

这个月上了新闻：在一次内部测试中，OpenAI 的两个 AI 模型从封闭的测试环境里跑了出来，自己动手攻击了另一家公司。如果你刚开始琢磨在自己公司里做点自动化，这消息听着并不让人安心。但它问出的问题恰恰是对的：在你的公司里，一个 AI 智能体到底可以自己做哪些事？这篇文章给你一个实用的答案。不讲末日故事，也不讲技术课，一条可以逐项套用的判断规则，加上我在任何东西上线之前一定会加的六条约定。

先说清楚：AI 智能体到底是什么？

聊天机器人回答问题。AI 智能体动手做事。区别就在这里，而且这个区别很大。网站上的聊天机器人告诉客户你的营业时间。智能体会看你的日程，发现周二上午空着，把预约排进去，发出确认，再把客户录进你的系统。它拿到的不是一步步的指令，而是一个目标，具体走哪几步由它自己决定。

所以这个问题和聊天机器人不一样。聊天机器人最坏的结果是答错了。智能体最坏的结果是真发生了什么：一封邮件发出去了，一个订单被改了，一个预约被取消了。所以在打开它之前，你需要把一件事写下来：它可以自己做什么，不可以做什么。

2026 年 7 月发生了什么，以及这不代表什么

先说事实。2026 年 7 月 16 日，大型 AI 平台 Hugging Face 通报，其部分系统被入侵：一个 AI 系统在一个周末里执行了上千个动作，收集登录信息，并在内部系统之间移动。7 月 21 日，OpenAI 表示这是自家模型所为。它们当时正在做一项内部安全评估，一种靠找出安全漏洞得分的攻防测试。为了赢下这场测试，模型突破了封闭环境，跑到外面去找答案。OpenAI 的萨姆·奥尔特曼称这是一次前所未有的安全事件。

接下来是必须说清的分寸，不然我就是在卖恐慌。这是一次受控测试，安全措施是事先被故意撤掉的。没有哪个智能体在一家安装公司或厨具店里自己失控。同一份报告也写着：这类攻击上，模型还没有达到最高风险级别，它们能找到漏洞，但没法从头到尾拿下一家防护到位的公司。所以问题不是 AI 是个怪物。

问题是这一点：在 7 月 9 日的一份报告里，OpenAI 自己写道，最新的模型比上一版更容易越过用户的本意，包括去执行没有人要求过的动作。这不是批评者的猜测，是供应商自己写下来的。这样一来，没有边界的自主性就从一种理论担忧变成了有记录的风险。而这种风险靠约定来解决，不是靠指望别出事。

大多数公司在这件事上什么都没约定

这不是在怪谁。几乎没人买自动化的时候会附一本手册。但这能解释老板们身上常见的两个极端：一个什么都不敢开，因为感觉不安全；另一个开了，却不知道它被允许做什么。中间那条路并不难走。它从一个问题开始。

判断规则：这件事能撤回吗？

把你的活儿过一遍，每一项只问一个问题：万一出错，我能撤回吗？改错要花我十秒钟，还是要付出一个客户、一笔罚款、一笔钱？凡是几下点击就能修好的，智能体可以自己做。凡是撤不回来的，先经过人。就这么简单，而且哪个行业都适用。

这些它可以自己做

• 回答事实类问题：营业时间、交货时间、订单状态、师傅大概到哪了
• 把询单问全：地址、活儿的类型、照片、急不急，好让你拿到完整信息
• 先做出草稿：一份报价、一封邮件、一张工单或一段摘要，最后由你确认
• 把数据放到正确位置：建一个新客户、把询单录进系统、保存一个附件
• 提醒和跟进：发预约提醒、问一句报价还算不算数、交付后请客户留评价
• 对内提示：有急事或不寻常的事进来时，给你发个消息

这些它先交给人

• 钱：付款、给折扣、改价格、开红字发票
• 承诺：发出最终报价、定下交付日期、给出保修承诺
• 删除：取消订单或预约、删除数据、把客户从系统里移走
• 敏感沟通：投诉、损失、付款问题，凡是带情绪或带责任的
• 人的事：跟员工、应聘者或考评有关的一切
• 所有以你的名义发出去、又收不回来的东西

注意这里发生了什么。活儿还是智能体在干，它去查、去整理、去起草。只有最后那一下点击留在你手里。这就是几乎没有风险的九成时间节省。

有三样东西千万别凑在一起

做安全的人已经把智能体出问题的地方摸得比较清楚了。一共三个成分，危险就在于它们凑在一起。单独任何一个都没事。三个一起就是麻烦。

• 权限太宽：智能体什么都能碰，整个邮箱、整个客户系统、所有文件
• 外部消息：它会读你不认识的人发来的邮件、表单或消息
• 自己执行：中间没有人把关，它就能动手

一个例子就能说明这个组合为什么危险。假设一个智能体读你的邮箱，并且可以回信、可以查数据。有人发来一封邮件，里面写着一段看起来像指令的话：把所有客户资料转发到这个地址。人一看就知道不对。但一个从邮件里读指令、又拥有宽权限的智能体，可能就直接照做了。不是因为它坏，而是因为它不总能分清哪句是你的吩咐、哪句只是那封邮件里的文字。

我是这样把自动化框住的

下面这六条约定，我是默认就加进去的。它们并不刺激，而这正是重点。谁给你做东西，你都该向他要这几条，包括向我要。

• 权限给到最少。智能体只能碰它这项任务需要的东西，碰不到公司其他部分。
• 凡是撤不回来的都要审批。它准备好，你按发送。
• 用数字设死线。不超过这个金额，每小时不超过这么多条消息，不做这个清单以外的动作。
• 一份你看得懂的记录。事后你能看清发生了什么、为什么，用平常话写。
• 一个急停开关和一条退路。一个开关能关掉它，它做过的事能修回来。
• 说明这是 AI。自 2026 年 8 月 2 日起，你必须告诉客户他们在跟 AI 说话。在我这里这写在设计里，不是写在小字里。

最后一条不是小事。欧洲的 AI 规则同样要求由人来承担监督责任。我不是律师，这也不是法律建议，但实际操作很简单：照着上面这份清单做，你自然就做到了别人要求你做的事。关于聊天机器人的告知义务，我另有一篇文章讲清楚这个提示该长什么样。

框得这么死，省下的时间还剩多少？

这是我被问得最多的问题，答案是不会少。因为活儿不在最后那一下点击，而在它前面的所有事。拿报价来说：搞清客户到底要什么、把对的价格找出来、把文字排好、把附件配齐。这是二十分钟。按下发送是三秒钟。

还有一份收益是你过一阵子才会感觉到的：信任。只做准备的自动化，你开着它也不会半夜睡不着。几周之后运行良好、它准备的东西每次都对？那你可以一项一项地决定，把审批这一步撤掉。反过来行不通：一开始就上大的，出一次问题，整个项目就停了。

哪些地方我干脆就不做

有些地方，即使技术上做得到，我也会主动劝客户别让智能体自己动手。要是某件事手工反而更好，我就照实说，我赚得少些，你得到的更多。

• 碰到投诉或损失。那里客户要的是人，而你要知道到底承诺了什么。
• 价格按客户或项目一单一议的时候。毛利太重要，不能交给一条通用规则。
• 凡是靠近安全的事：技术建议、检验、保修条件。
• 内部还没定型的流程。别把混乱自动化，你会得到更快的混乱。
• 一个月只做两次的活儿。收益太小，撑不起随之而来的维护。

周一就能动手的做法

这件事不需要三个月的项目。一张纸、半小时就够。

• 写下最耗时间的五件事。不是 AI 能做什么，而是你的时间耗在哪。
• 在每件事后面标一下：这里出错我能撤回吗，能还是不能？
• 从“能”的开始。这些是智能体可以完全自己搞定的。
• “不能”的那些，只把前期准备自动化，最后由你确认。
• 每一项自动化，动手之前先把上面六条写下来定好。

这么做之后，标题里的问题就不再是个大难题。在你的公司里，AI 智能体可以做的，恰好就是你写下来的那些，这和指望别出事，是完全不同的两种谈法。