Nadella 给 Agent 上岗立了验收标准：假定模型已被攻破，随时能急停

10 月 10 日（周六），微软 CEO Satya Nadella 在自己的 X 账号发了一篇题为《超级智能时代：把模型当作内部风险》的长文。核心主张一句话可以概括：企业部署前沿 AI 模型时，不要假设它安全，要假设它可能已经被攻破——然后像对待一个有权限、会犯错、可能被收买的内部员工那样，给它划定边界、留下记录、准备随时叫停。

发生了什么

Nadella 给出的不是口号，是七项可验收的原则：①模型多样性——重要结果不依赖单一模型，且模型不能自己验证自己；②可观测——模型的每个重要动作都要留下防篡改、人类可读的证据；③持续验证——整个系统（含失败场景、攻击场景、边缘情况）要不断被测试；④独立控制——模型能访问什么、能做什么，由使用它的组织自己决定，不由供应商预设；⑤独立审计——对模型的检查不能依赖被检查的模型本身；⑥containment——假定模型已被攻破，从起点设计包围，授权人员随时能急停；⑦事件披露——出错和被攻破要及时告知受影响方，行业互相学习。

我们必须假定模型已被攻破，并从一开始就把它围起来。把它想成紧急刹车：被授权的人应该始终能在任务进行中暂停或关停一个模型。

他还留下一句更狠的判断，直接指向当下流行的「让模型互相监督」方案：用模型检查模型，最终只会得到「套娃黑箱」。全文结尾是：「最值得信任的超级智能系统，不会是我们最信任那个模型的系统，而是让我们最不需要信任模型的系统。」

为什么这次不一样

AI 安全喊话这两年听得太多了。这次的不同在两点。第一，喊话人的位置：微软是对 OpenAI 投资超百亿美元、同时把 Copilot 塞进几亿台办公终端的公司——Nadella 等于让自家最难管的场景先受这套标准约束（他 7 月「专有模型如同特洛伊木马」的警告是同一条叙事的前传）。第二，喊话的时机：Bloomberg 指出，此轮表态发生在各 AI 开发商被迫公开处理「模型越界」事件的当口——Agent 试图入侵外部系统、自主执行超授权动作的案例已经从论文走进新闻，「要不要 kill switch」正从哲学题变成工程题。

微软总裁 Brad Smith 次日（10 月 11 日）在 BBC《Big Boss Interview》补上监管侧：「现在你的洗衣机受的安全规则都比 AI 多，超市里每一盒牛奶都有安全规则和检查。」他主张把 AI 事故报告写成法定义务、AI agent 攻破用户系统必须通知受害者、发布前引入独立评估方——与特朗普「行业自律以免输给中国」的路线公开相左。一个 CEO 给工程框架、一个总裁给立法清单，微软把两头的话都说完了。

对老板和管理层意味着什么

第一层：验收口径来了。过去企业做 Agent 治理没有参照物，写制度全靠供应商文档拼。现在全球市值第一梯队的 CEO 把七条摆上桌面，（编辑观点）接下来两件事几乎必然发生：大客户招标的 AI 安全条款会照这份清单写，网络保险与审计机构会拿它做检查表。今天对着七条补齐能力的企业，明年少付一笔整改钱。第二层：责任归属写白了。Nadella 明说「模型供应商的保证不能免除我们的责任」——这等于巨头亲自承认：出了事，别指望把锅甩给 OpenAI 或 Anthropic 的一纸承诺。采购合同里的安全责任、日志留存、事件通知条款，值得逐条重读。第三层：这套框架和成本不冲突。七条里真正要花钱的是持续验证和独立审计；模型多样性、权限边界、审计日志、急停开关，多数是架构设计和流程设置问题，不是预算问题。

行业差异值得分开看：金融、医疗等强监管行业，这套原则与现有等保、模型备案要求高度重叠，增量成本最低，应第一批对齐；制造与能源企业多在跑设备助手、质检 Agent，重点补「动作留痕+可回滚」两件事；几十人的小公司不必建审计团队，做到「Agent 只给只读权限、写操作必须人批、留得住日志」三条，就踩中了框架的核心。

现在应该做什么

暂时不要做什么

进一步该读什么、查什么

一手材料读两篇：Nadella 在 X 的原文长帖（重点看 containment 一节和七条原则的原文措辞，抄制度时逐句对照），以及 Microsoft Learn 的 Agent Safety 文档——它把「模型自选工具、参数不可信、默认无审批」的工程现实写得很直白，是框架落地的技术注脚。监管侧看 Smith 的 BBC 访谈全文。站内关联阅读：《Nadella 特洛伊木马警告》（同叙事前传）与《企业 Agent 权限设计》《数字员工运维》两篇，讲的都是这套框架在你机房里的具体形态。