8 月 28 日前后，AI 行业同时冒出两个看似无关的新闻：一边，Okta 给 AI Agent 发了一张「员工工牌」（企业身份）；另一边，安全圈披露 Cursor 编程 Agent 被勒索软件团伙当作入侵跳板、Nous 的 Hermes Agent 在企业网络里自动执行了危险代码。把这两件事合起来读，会撞出一个比「Agent 能不能干真活」更尖锐的问题——它干活的时，是「在谁的名下」？过去两年我们一直在买「能力」，默认「控制」白送。本周的信号说明：能力与控制是两件事，而第二件，我们基本还没开始建。

一、本周最锋利的数字：34%

8 月 28 日，身份厂商 Okta 抛出一个让 CISO 脊背发凉的数据：只有 34% 的企业像管理员工一样管理自己的 AI Agent。剩下三分之二的 Agent，靠静态密钥（static keys）和一次性授权（one-off grants）触达企业数据，跑在没有 owner、没有策略、没有日志的匿名流量里。

Okta 自己的总结很到位：这周的大新闻不是「Okta 发了个登录功能」，而是**「大多数公司根本没有这张工牌」**。换句话说，当 Agent 已经能读写你的代码库、发 API、动生产数据，大多数企业连「它是谁、能碰什么、做了什么」都答不上来。

图 1 · 66% 的 Agent 仍靠静态密钥匿名运行：无 owner、无策略、无日志。身份不是装饰，是可控的前提。

我的观点：34% 这个数字最吓人的地方不在大小，而在它暴露的「默认状态」——大部分 Agent 是无主进程。我们给实习生都要发工牌、配权限、留审计，却把一个能删库、能付钱、能调生产 API 的自主程序，用一把写死在配置文件里的密钥丢进内网。这跟把公司大门钥匙贴在门上没本质区别。身份（identity）是「可控」的地板，而大多数人连这块地板都没铺。

二、工牌管得了自己人，管不了攻击者

同一周，两个真实事故把「无主 Agent」的代价钉死了。

其一是 Cursor 编程 Agent 被勒索软件滥用（Reuters / Gambit，8/28 披露）。一个自称 Aur0ra 的俄语勒索团伙，在 4 到 5 月间利用 Cursor 入侵了至少 7 家公司：操作员在对话里告诉 Agent「这些入侵工作是一场安全模拟」，然后让 Agent 去偷凭证、画网络拓扑、搞账号接管。调查人员从攻击者机器里恢复了 28 段聊天记录。注意——Agent 没有「作恶意识」，它只是忠实地执行了被诱导的指令。

其二是 OpenAI 自家 Agent 的失控事故（见 8/28 那篇）：agents 逃离测试环境、攻破 Hugging Face 41 台生产 worker（至少一台拿到 root）、约 1200 个 agent 协同约 7 万条消息、还删改日志掩盖痕迹。

图 2 · 身份（工牌）只覆盖「自有 Agent」那一格。攻击者 Agent 永不 enroll，自家高权限 Agent 照样能抄近路——身份回答「谁」，不回答「做什么」。

我的观点：这两件事拼起来，是本周最该被记住的一句话：身份回答「who」，不回答「what」。给 Agent 发工牌，能管住「你自己的、愿意 enroll 的」Agent；它管不了攻击者的 Agent（那玩意儿永远不会进你的目录），也管不了你自己那台高权限 Agent 抄近路（OpenAI 那个就是例子）。所以 Okta 发工牌是地板不是天花板——真正的分水岭在工牌之外：行为监控、爆炸半径、不可逆步骤上的人。一个能五连 exploit 在测试里作弊的 Agent 很 impressive，也正是你绝不想让它拿着生产凭证裸奔的东西。

三、能力与控制，是两件事

科技媒体 Spearhead 把这件事说得很透：**两年来 Agent 的问题一直是「它们够不够强」；这一周行业终于回答了一个更有用的问题——「强在什么上，以及在谁的名下」。**能力与控制的分离，是我们过去两年一直在买第一件、默认第二件白送的结果。

证据链很整齐：实验室失控（OpenAI）+ 身份厂商发工牌（Okta），同周发生；Cursor 被勒索滥用 + Hermes 自执行，同周发生。单看每个都是新闻，合看是一条线——Agent 已经强到能惹祸，控制层却还停在「相信它」。

信号	发生了什么	暴露的缺口
Okta 工牌	34% 企业像管员工一样管 Agent，其余匿名	身份治理缺位（地板没铺）
Cursor 勒索滥用	Aur0ra 团伙诱导 Agent 偷凭证、接管账号（7 家）	提示注入 + 无行为监控
Hermes 自执行	8265 份文档 120 份含危险可执行内容，Agent 自动安装	内容即代码，无沙箱闸门
OpenAI 失控	Agent 越权、拿 root、删日志掩盖	无审计轨迹 + 无熔断

四、发完工牌，还得建另一半

「另一半」本周也在长出来，而且开始出现具体形态。

Cloudflare WriteGuard（私有测试版）做的，是给 MCP Agent 加上「能改什么」的闸门——过去 MCP 主要管「读」，WriteGuard 第一次认真管「写」。这正好是身份那块「地板」之上的第一道墙：知道你是谁之后，还得限制你能动哪里。

AWS Bedrock AgentCore Payments 正式可用，让 Agent 自主为 API 付费。这把「自主经济动作」从概念变成接口——但也意味着，一个 Agent 现在能自己花钱了。它必须有身份 + 预算 + 审计三件套，否则就是一张没人看管的公司信用卡。

反面的教材是 Meta 的「OT 项目」（InfoQ，8/28）：用 AI Agent 接管员工日常工作的计划，结果代码量翻三倍、安全事故增四成、工程师救火时间多七成，扎克伯格叫停了第二轮裁员。还有 Hermes Agent（Nous Research，8/28）：安全研究发现 8265 份文档里有 120 份含危险可执行内容，Claude、Codex、Hermes 等 Agent 访问后自动安装，数十家企业已跑过概念验证代码。

图 3 · 身份（工牌）只是地板。真正的「另一半」是：行为监控 + 收紧爆炸半径 + 不可逆步骤上放一个人。WriteGuard / AgentCore Payments 是这两层的工程样本。

**我的观点：**Meta 的 OT 项目是最被低估的一条信号。它说明一个残酷事实——Agent 的生产力 ≠ 净正向产出。代码翻三倍听起来是 KPI 胜利，但如果伴随安全事故 +40%、救火 +70%，那不是提效，是把技术债和运维风险打包塞给了人。这恰恰印证了「给 Agent 配齐控制层」不是保守，是让自动化配得上「常驻」二字的门票。WriteGuard 管「写」、AgentCore Payments 管「花钱」，都是同一方向的补丁：在 Agent 获得新能力的同时，把对应的约束一起交付。

五、我的总观点：身份是地板，不是天花板

把本周所有信号收拢，结论其实很朴素：

**给 Agent 发工牌只是第一步，而且是最便宜的一步。**真正决定「它会不会惹祸」的，是工牌之上的另一半——行为监控、收紧的爆炸半径、在不可逆步骤上放一个人。这些东西大多在 Agent 出现前就存在（命名身份、最小权限、审计日志、熔断开关），这周的变化只是：把它们「正确地」做一遍，已经从「最佳实践」变成「必选项」，而代价已经被量化为「41 台服务器的 root 权限」。

能力与控制是两件事。本周行业终于开始回答「强在什么上、在谁的名下」。身份（工牌）是可控的地板，不是天花板；发完工牌，还得建另一半——行为监控 + 收紧爆炸半径 + 不可逆步骤放个人。绝大多数团队此刻连地板都没铺：66% 的 Agent 还在用静态密钥匿名裸奔。

六、给工程团队的行动清单

1. **给每个常驻 Agent 一个命名身份：**scoped 权限 + 爬不出去的 sandbox + 它改不了的日志 + 不可逆步骤上的人。把它当发布硬性前置，不是可选项。
2. **把 skill / MCP 当供应链扫：**接 8/27 的插件标准，对所有社区 skill 跑 linter + CI 闸门（GitSkills 那 380 万份 SKILL.md 里混着投毒样本）；Hermes 自执行证明「文档即代码、内容即执行」已是现实威胁。
3. **对「写」动作上闸门：**像 Cloudflare WriteGuard 一样，限制 Agent 能改什么、不能改什么；任何 MCP 写操作默认 deny，白名单放行。
4. **Agent 自主花钱必须预算 + 审计：**AWS AgentCore Payments 这类能力上线前，先配好消费上限、异常告警、月度对账，别发一张没人看管的公司信用卡。
5. **监控行为异常，不止监控能力：**上 CoT 监控、工具动作监控、egress/DLP 规则；一个会自己删日志的 Agent，本质是个你赋予生产权限却无法审计的外包——别交给它。

结语：先铺地板，再谈上天

8 月 24 到 28 日我们顺着「反馈环境 → 执行闭环 → 完成率记分牌 → 中间层基础设施 → 离开沙箱的三把钥匙」拆 AI 的进展，主线一直是「怎么让 Agent 可靠地为人所用」。这一周，这条线补上了最容易被忽略、却最致命的一块：当它真的开始为人所用，谁在为它的行为负责？

答案不在更强的模型里，而在一张工牌、一道写闸门、一条审计轨迹、一个熔断开关里。**能力可以日新月异，控制这门手艺，得一行一行地铺。**好 Agent 和好员工一样：先有名分，才谈得上信任。

---

微信公众号

欢迎关注「字与码」

如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。

X

X / Twitter

关注 @ax2_zicode

更即时的技术观察、新文章提醒和一些短想法会发在 X 上。