TechTalk丨从能买奶茶到能进企业，Agent 绕不开同一组问题

能付一杯奶茶，就有可能付更大的账单

Personal Agent 能帮你比价、下单，可你真放心让它替你付钱吗？

Agent 在替谁办事，能动哪些东西。个人用户担心它乱花钱，企业要管的是整套账号体系和数据权限。

史明伟是阿里云 AgentCore 产品的架构师，他说现在基本无法离开 AI 工作，但在这期 Datawhale × 阿里云 AgentCore 的 TechTalk 节目里，主持人周琳问到让 Agent 帮忙买杯奶茶，他首先想到的仍然是风险：当智能体能付一杯奶茶钱，也就可能付金额更大、更不可控的账单。

同样的担心，到了企业里会被放大：Agent 用谁的账号，能看哪些数据，出了错会波及多大范围。史明伟在聊安全隔离时说过一句：“这些因素，对 Personal Agent 和企业 Agent 平台来说，是通用的诉求。”

Alibaba Cloud AgentCore 是企业级 Agent 构建和治理平台，为 Agent 在业务场景下的规模化落地提供基础设施，所以这场对话，他和 Datawhale 主持人从个人助理一路聊到企业 Agent：权限该怎么一步步放开？进了企业，账号打通、数据权限、沙箱隔离又会带来哪些新问题？没有强技术团队的企业，该从哪里起步？

以下是本期 Datawhale x 阿里云 AgentCore TechTalk 对话节选。

Agent 能办成多少事，取决于它能接到多少信息

Agent 能办成多少事，取决于它能接到多少信息：个人这头是手表、健身房，企业那头是各个子系统和 IT 系统。

周琳：工作和生活，哪边更容易接受 Personal Agent？

史明伟：我从个人角度说。工作里我确实需要一个 Personal Agent 帮我处理日常事项，我也会参与审核信息，现在基本上处于无法离开 AI 的工作状态。

生活里，购物信息的甄别和处理也是真实需求。用更好的性价比买到更好的东西，几乎人人都想要。如果能提效，省下查信息、沟通、筛选的时间，我觉得就是很好的场景。

周琳：工作比较严肃，生活杂事是不是更容易交出去？

史明伟：工作里，大家对严肃性有预期。Personal Agent 进来，可能反而更容易被接受，对效率表现和需要人参与的地方容忍度更高，可控性、可预期性也更好把握。

到了生活里，个人对风险更担心，期待也更高。我是真心希望它帮我处理购物这类事务，但这对自动化和安全的要求其实更高。

周琳：比如让它帮我买杯奶茶、比个价，结果还没我自己挑得快、挑得便宜。

史明伟：这里有两点。第一，和原来比，效率有没有提高，问题有没有解决。第二，它一旦能付钱，你就会想：会不会带来更大的支付风险？

能支付一杯奶茶，可能也就能支付金额更大、更不可控的项目。所以安全和边界要掌控得更好。真正进入日常使用后，整个体系的要求会高很多，已经超出了实验性质的场景。

周琳：用户该怎么给自己设边界？权限放到哪一步？

史明伟：一开始可以管得严一点，牺牲一些效率，先摸清 Personal Agent 的边界和自己用它的范围，再慢慢放开权限。一上来就全放开，风险可能把握不好。

还要分清尝鲜和真正严肃地用。作为使用者，对产品提供的策略和权限定义要有一定了解，谨慎地慢慢用，把边界管好。

周琳：可要是每一步都要确认，助理还怎么帮人减负？

史明伟：Human in the Loop，也就是人的参与，可以兜底，避免陷入一味追求自动化、安全又解决不好的困局。

但人的参与方式也会变。就像刚接触 Coding Agent，它帮我们实现一个完整功能，会有惊艳的时刻。后来，我们从一步步点确认、让它执行，慢慢变成放心让它实现一个完整功能。

Personal Agent 也可能这样。人的参与度可以按自动化程度分级，用更有效的方式减负；要是一直得人盯着，个人助理也就没意义了。提高自动化和建立安全实践要一起推进，而安全必须是基本准则。

周琳：除了用户自己小心，平台该承担什么？

史明伟：数据安全有两面。使用者要管好自己的隐私数据；另一面是对平台或服务提供者的要求：面对个人或企业的诉求，平台能给用户多大的安全定制能力？

这也是 Personal Agent 从生活走向企业时必须解决的问题。支付、购物已经是更严肃的场景，数据分类、隐私数据的检测和审计都会更重要。

编者补充：在 Alibaba Cloud AgentCore 上，人和 Agent 走同一套认证鉴权，Agent 有独立身份，入站、出站双向管控，可按角色配置权限；访问外部系统用的 AK/SK 等凭证集中管理，不散落在各处配置里。

持续在线，不等于持续工作

在线只说明服务没停，Agent 还得记住事情办到哪一步，并分清哪些事件该处理、哪些该过滤。

周琳：网上演示很多。您做一线研发，觉得它离日常助理还有多远？

史明伟：我们做 AI 基础设施，生活里也会用这些产品。我觉得它还处在相对初级的状态，只是搭出了个人生活助理的一些雏形。

往后要走向成熟，得把上下文建起来，让事件状态能持续触发它，把生活场景连起来，周围的设备和基础设施也要接进来。关键是它要持续、主动地处理生活和工作里的事务。

周琳：这些需求在推动哪些基础能力变化？

史明伟：大家对 Personal Agent 期待多了以后，基础设施产品也在把它依赖的能力打通得更方便，包括身份的持续授权、连接的持续输入、事件的导入与触发，以及 Durable 状态的持续维护。这些都在升级。

周琳：这种主动，和传统的“事件来了就触发一次处理”有什么区别？

史明伟：我之前一直做这类产品，常提软件领域的事件驱动架构：计算按需被事件触发，去处理事件。

Personal Agent 也有这个特点，但主动性更强。触发可能只是一个输入，在这之前它可能已经在主动探索，结合你过往的信息和实时上下文，做出更贴合需求的判断，把事情办完整。

周琳：所以光多接输入还不够，还得从里面挑出真正的需求？

史明伟：对，这是互相推动的过程。需求推着基础设施变；基础设施强了，又能接进更多场景、连接和事件，撑起更大的应用空间。

但拿事件触发来说，场景和事件越多，对基础设施的要求越高。怎么甄别信息和事件？哪些要主动处理，哪些要过滤掉？这些都是要解决的问题。安全也要在这个环节一起考虑。

周琳：我经常误触手表或手机。它还得判断什么是真需求，什么时候该“闭嘴”。

史明伟：这个过程会不断演进，在效率、安全和管控之间找到更好的做法。安全必须是最基本的准则。怎么权衡，应该还会出现新的理论和方法。

周琳：放到企业里，现在最急的是什么？

史明伟：从实际落地的客户看，坦诚地说，企业 Personal Agent 比个人助理更处在探索阶段。

企业现在更迫切的，是建设 Agent 业务依赖的 AI 基础设施和中台，把治理做好。

员工助理要和企业的各种场景放在一起看。企业希望整个公司的业务都跑在相应的 AI 基础设施上，拿到更大的业务价值。Personal Agent 可能只是其中一个场景，这个进程可能会慢一些。

编者补充：Alibaba Cloud AgentCore 支持复杂任务的动态拆解与调度，长周期任务可中断、可恢复。

安全这件事，从第一天就要考虑

个人场景里出了错，影响的是一个人；企业里风险一旦外溢，商业影响面要大得多。

周琳：从基础设施角度，为什么一直强调沙箱和隔离？

史明伟：在 AI 场景里，LLM 的不确定性会带来风险，这也是我们提沙箱隔离的原因。基础设施的安全隔离，可能从第一天就要考虑，包括数据安全、运行安全和边界可控。

基础设施从第一天提供这些保障，上层应用再根据场景，把对应的策略加到过程里。除了数据，成本、能力外溢等方面，也都要在产品设计之初考虑。

这些因素，对 Personal Agent 和企业 Agent 平台来说，是通用的诉求。整个 AI 应用体系都在解决安全、治理和可控的问题。

周琳：从个人场景到企业，最大的变化是什么？

史明伟：企业构建 Agent 相对还比较保守。要推进 Agent、让 AI 走进业务，首先得完成企业自身 AI 或 IT 基础设施的升级。

以前各部门可能各有开发计划，但在 AI 场景下需要统一管控。打通数据链路、统一治理能力、分配预算、建立安全机制，这些单靠一个团队做不成，需要公司自上而下推动。

周琳：企业先小范围试点，和之后规模化应用，要求有什么不同？

史明伟：大企业会先试点。但要规模化、更大范围地用，对基础设施的要求非常高，比如 AI 运行环境的沙箱安全，网络层面、不同业务之间的隔离能力。

因为一旦风险外溢，商业影响面更大。个人开发者或小的创新场景没有企业那样的存量负担，做 AI 业务时边界更好控制，也更敏捷。

难点也会随业务复杂度变化。对中型或更大的企业，系统之间的统一连接、IT 配合和数据质量，可能都是很大的挑战。不能只盯着 Agent 本身的表现。

底座用现成的，功夫花在业务上

前面四个问题，个人和企业都绕不开。史明伟的建议是别从零搭，先借现成的底座把业务跑通。

周琳：没有很强技术团队的企业，该从哪开始？

史明伟：行业里已经有面向个人开发者和中小微企业的产品和解决方案。企业想快速落地，基于现有的成熟产品和方案，落地自己的业务场景，是更快的路径。

像阿里云的 AgentCore，还有开发、办公等不同类型的产品，都在不同程度上解决企业应用落地的问题。在这些基础上，可以直接面向业务，开始做业务闭环的试点。

试点过程中会发现要解决哪些问题：数据怎么管，业务效果怎么评测，哪些操作要更细粒度地控制。先把企业场景里的问题梳理出来，再和对应的平台或产品一起解决、持续迭代。

周琳：现在哪些场景已经比较容易看到实际应用？

史明伟：从我们看到的情况，软件开发流程里用得比较普遍。一方面 Coding Agent 工具比较成熟，另一方面原有 IT 基础设施有数据积累，能帮客户更好地落地。

企业里也有个人助理，和本地化的开发工具配合，处理日常事务，包括日程、会议，以及一些风险较低的小问题自动化。其他场景，很多客户还在探索。

我们也看到一些购物类企业，先围绕场景建立支付边界控制和企业数据资产管理，再给企业 Personal Agent 更大的自由度和适用范围。

周琳：大模型能力越来越强，做 Agent 的团队该在哪里建立自己的竞争力？

史明伟：主要模型厂商的智能能力都在提升。这种智能平权，给企业客户带来了更好的机遇。

我觉得垂直领域和生态位的能力，可能是建立差异化的方向，包括领域知识、流程、自动化能力和设备连接。厂商或创业公司可以凭敏捷性更快建立这些能力。

面向具体领域、具体场景，把 AI 能力注入进去，提升整体效率。之前积累的解决问题的能力、流程和工具，也可能长出新的能力，接入更大的生态。这是我更多从技术角度看到的方向。

平台把运行和治理做好，企业把业务做深

史明伟把做 Agent 的差异化放在领域知识、业务流程、自动化能力和设备连接上。这也给企业留出了一个更具体的选择：身份授权、运行隔离、任务调度这些共性工程能力，可以借助 AgentCore 这样的平台；自己的业务怎么做，仍要由企业来定义。

平台提供运行和治理的能力。在 AgentCore 上，Agent 的身份、外部工具与凭证可以统一管理，长周期任务有拆解、调度和中断恢复的支撑，运行过程有沙箱隔离和全链路追踪。企业可以在这些能力上构建应用，减少从头搭建同类基础设施的工作。

企业先把业务流程说清楚。Agent 要读哪些资料、调用哪些系统，事情按什么顺序办、遇到例外交给谁，这些来自企业对自身业务的理解。接入工具只是起点，数据要整理，专业知识和操作方法也要沉淀，Agent 才有依据做事。

权限的尺度由企业定。平台提供认证、鉴权和隔离机制，企业要决定具体规则：哪些数据可以看，哪些操作可以直接执行，哪些必须由人确认。这需要业务负责人、IT 和安全团队共同参与，再把规则落实到应用与平台配置中。

做得好不好，也要拿业务结果来判断。调用量、耗时和 Token 消耗能帮助定位问题、了解运行情况；一项任务是否合格，还要由企业给出标准。史明伟建议在试点中评测业务效果、梳理需要细粒度控制的操作，再和平台一起迭代。

以对话里的购物场景为例，平台可以提供工具接入、授权和运行隔离，业务团队则要说清楚怎样比价、什么结果值得推荐、付款前需要谁确认。从给个人买奶茶到替企业处理业务，这些规则会变化，但背后的基础能力有不少可以共用。

企业真正值得积累的，是对客户、数据和工作流程的理解。借助 Alibaba Cloud AgentCore 这样的底座，把这些积累做成可执行、可检验的业务应用，是这场对话所说的差异化更具体的落点。

JOTO 企业落地观察

• 对企业部署意味着：安全隔离与身份治理不能等到上线后再补，必须作为基础设施的默认能力嵌入初始架构。企业若自行搭建 Agent 运行时，需优先确保会话级沙箱、凭证集中管理和全链路追踪能力，否则后续治理成本将指数级上升。
• 这类系统的取舍在于：企业不应在通用能力（如任务调度、状态持久化、工具接入）上重复造轮子，而应聚焦于业务规则的建模与沉淀。AgentCore 提供的 MCP 接入与统一资产中心，正是为了将企业已有的流程、权限逻辑和知识资产转化为可复用的智能体组件。
• 对 RAG 知识工程而言，上下文连接的本质是结构化数据源的持续注入能力。企业若缺乏统一的数据接入规范与元数据治理，仅靠 LLM 自行理解非结构化文档，其上下文准确率与任务成功率将长期受限于原始数据质量，而非模型能力。
• AI 安全治理的关键转折点在于：从「防御式」权限控制转向「可审计式」行为归因。当 Token 消耗、工具调用、决策分支均可精确归属至具体 Agent 实例与执行步骤时，企业才能建立可信的问责机制，这对金融、政务等强监管场景尤为关键。