智能体的「住址」之争：能住在哪、能写什么，决定账单与责任

2026年10月中旬，企业软件圈发生了一件低调但关键的事：智能体开始获得对系统记录的「写权限」。10月6日，SAP 将 Joule 向所有客户开放，核心判断是「AI on apps，而不是 AI in apps」——智能体住在应用之上，按 AI 单元计费；10月8日，Zone and Co 推出 AgentHQ，十余个应付与结账专家智能体在 NetSuite 中执行「已获批的写操作」，每个智能体有独立权限与审批门；10月9日，Rezolve Pay 向第三方购物智能体开放结账，ZoomInfo 收购 DoubleO.ai 把多智能体自动化并入销售工作流；Wesfarmers 披露其零售网络智能体节省约 50 万小时、转化率提升至三倍。

从只读助手到受控写入

把这串事件叠在一起，会发现一个共同的技术拐点已经越过：智能体正在从「只读助手」变成「能动手的同事」。但每张工牌都带着绳子。微软在 10 月 7 日的活动中宣布 Microsoft Execution Containers（MXC，执行容器）正式可用：管理员可以规定每个智能体能访问哪些文件和网络，策略在智能体运行时强制执行，且「在智能体自身的控制之外」——也就是说，智能体无法给自己提权。Copilot Studio Hooks 则用生命周期事件触发工作流，可阻断违规工具调用、脱敏结果、写审计记录，官方也提醒：Hooks 不会阻止一个已经失败的智能体，绳比看起来更细。

唐山企业落地时的三道安全闸

第一道是数据边界：先想清楚哪些系统、哪些字段允许智能体读，哪些永远只读不写，哪些写了必须人确认。第二道是审计留痕：凡是智能体动过的记录，都要有「谁、在何时、改了什么」的日志，出事能回溯。第三道是最小权限起步：新上的智能体默认只给最小可用权限，跑稳一段时间、行为可预测了，再逐步放开。这三道闸不依赖哪家平台，是组织自己该定的规矩。