Agent 的授权门禁搬进平台，审计只剩三方各一半

11 月 3 日下午，一位企业安全负责人打开两家供应商的报表。一家告诉他，昨晚有一个 agent 通过了公司网关，调用了哪些模型、走掉多少流量，都列得很清楚。另一家告诉他，这个 agent 在终端上执行了哪几条命令，也列得很清楚。他真正要回答的问题只有一个：这一次付款是谁批的。两份报表都答不上来。审批发生在一个应用内部的分类器里，而那个分类器属于第三个厂商的产品。

这件事不是某一家公司集成没做好。它是一条结构性的结果：过去十八个月，agent 的授权门禁一直在从企业自己写的策略，搬到平台的产品里。谁拥有运行时，谁就拥有那道门；谁拥有那道门，谁就拥有门的记录。企业拿到的是一份别人写的、按别人的格式、只覆盖别人那一段的账。

三条消息指的是同一个变化

10 月 21 日，Anthropic 开放了 Claude Duet 的研究预览。它是一个主动型 agent，早上给你一份简报，白天替你看邮件和日历，你走开它继续干。它的安全承诺写得非常具体：在发消息、付款、签文件、删除任何东西之前，它会把要做的动作给你看，然后等你批准；有些事即使你批准它也不做，比如买卖证券、在账户之间转账。它还说明，这些判断由 Claude Code 那套「自动模式分类器」来做，和今年以来保护 Claude 与 Claude Code 不被越权指使的是同一套东西。原文见 Introducing Claude Duet。

更早的一次调查里，DigiCert 在 6 月 25 日发布了一份对1,001 位 IT 与安全决策者的调查（美国、英国、澳大利亚，2026 年 5 月实地访问）。结论是 78% 的组织在过去一段时间里经历过 AI 相关事件，或者发现过 AI 相关的漏洞；同一份调查里，只有一半建立了正式的 AI 治理项目，而 90% 说这件事已经在董事会层面讨论过。原文见 DigiCert 新闻稿。二手解读里还有一个更窄的数：把 78% 拆开，其中约一半是「最近六个月发生过一次与未授权或配置错误的 agent 直接相关的事件」。这个拆法来自 The Deep View 对同一份问卷的报道，DigiCert 自己的稿子里没有这句话。所以它只能当线索，不能当口径，二手报道在此。

11 月 3 日，CrowdStrike 在巴塞罗那的 Fal.Con Europe 上同时做了三件事：宣布收购 Fiddler AI 与 Dreadnode，发布 AI Kill Switch，并把 Falcon 传感器装进 Anthropic 的 Claude Cowork 虚拟机。金额由华尔街日报报道为总额 4.95 亿美元，其中 Fiddler 约 4 亿、Dreadnode 约 9,500 万，绝大多数对价是现金、少部分是带归属条件的股票，WSJ 报道（付费墙，正文不可直读）。要紧的是这个口径：公司自己的两份公告只写「已签署最终协议」，没有披露任何金额，Fiddler 公告与Dreadnode 公告都如此。所以4.95 亿美元是记者的读数，不是公司的说法；对外引用时要么标清出处，要么只说「未披露对价」。

把三件事放在一张桌上，变化就清楚了。模型厂商在自己产品里造门，安全厂商把观测和攻防测试买进同一个运行时，而买方被调查出来的状态是：门有了，治理项目还没建。换句话说，门和治理同时到场，但只到了一半。

门禁其实有三个执法点，它们看到的不是同一件事

要理解为什么两份报表拼不出一个答案，得先看门装在哪里。今天企业能买到的 agent 授权，实际落在三个互不相通的位置。

第一个是终端与运行时。CrowdStrike 的思路是把传感器放在 agent 执行动作的地方，它新发布的端点网络巡检做的正是这件事：把 agent 发给网络的东西和它在终端上做的事拼在一起。公告里对这个取舍写得很直白：只看 agent 层钩子的人能看到提示词，看不到模型的回应，也接不住 agent 做出的每一个动作；只看网络的人能看到流量，却拦不住动作，因为动作发生在终端，网络只看见它出门；而当 agent 跑一个本地的、或者开源权重的模型、流量根本不出机器的时候，只看网络的工具会直接失明。

第二个是网关。Kill Switch 的第一层执法就在网关：终止未授权的 agent，阻止它再次启动，切断它对模型的访问。这里要按字面读，不要按名字读：它切的是 agent 与模型之间那条线，不是删掉 agent 的代码，也不是吊销它手里的凭据。对一家把 agent 跑在自己机器上的企业，这已经够用；对一家让 agent 跑在第三方虚拟机里的企业，这道开关握在谁手上，就得看合同。

第三个是应用内部的分类器。Duet 的四道门——发消息、付款、签文件、删除——不是一排写在配置文件里的规则，是一个模型在每一次动作前判一次「这一步是不是用户要的」。同一套机制在 Claude Code 里的实现，Anthropic 写得比产品页清楚：分类器跑在 Sonnet 4.6 上，分两段，先用一个单 token 的快速过滤器判「拦还是不拦」，被标记的才进入思维链推理；它只看用户消息和 agent 的工具调用，把模型自己的消息和工具返回内容剥掉，所以是「对推理过程失明」的设计；如果一次会话连续三次被拒、或累计被拒二十次，就停下来交给人，无头模式里直接终止进程。见 How we built Claude Code auto mode。

三个位置各自成立，合起来不成立。终端知道动作是什么、在哪台机器上发生，不知道这个动作对应哪一句用户指令；网关知道流量去了哪个模型、花了多少 token，不知道那次调用是在替谁付款；应用内分类器知道用户原话是什么、工具调用长什么样，却不知道同一个 agent 在另一个平台上刚刚做了什么。企业要的是一份「这一次动作、依据哪句授权、谁判定通过」的账，这份账横跨三个位置，而三个位置分属三家供应商。

审批从「人点确认」变成「分类器判」，这个转变有数字支撑

为什么门要交给分类器？Anthropic 在那篇工程文章里给了一个不体面但诚实的数字：人工提示的批准率是 93%。也就是说人点了十次确认，九次以上根本没细看。这不是用户的错，是设计的结果——当确认弹窗的频率超过注意力能承受的密度，确认就退化成仪式。文章把这件事叫「批准疲劳」，并列出了内部事故记录：误解指令后删掉远端 git 分支、把工程师的 GitHub 令牌传到内部集群、对着生产库跑迁移。三件事的共同点不是恶意，是过度主动。

所以新的验收数字不是「有没有审批」，而是「审批的错误率是多少，以及错误发生时系统的反应是什么」。自动模式的误报率报的是 0.4%。这个数小，但它的意义要看另一面：一次误报的代价被设计成「重试一次、agent 换个路径」，而不是「会话终止」。也就是说，分类器判错被当成可以吸收的噪声，只有连续判错才升级成人。这个设计合理，但它同时说明：门的质量由制造方调参决定，买方看到的是结果，看不到阈值。

对买方更麻烦的是分类器看不见什么。它剥掉工具返回内容，是为了不让被注入的内容直接改写判断——这层防护是必要的。代价是它无法判断「这个动作的输入本身是否已经被污染」。Anthropic 在另一层补了这一块：在自动模式里有一条服务端的注入探针，扫读文件、网页抓取、shell 输出这些工具结果，在内容进入上下文之前先标记可疑，让 agent 把这段内容当作不可信。两层配合，一层看输入，一层看动作。这个结构值得抄进采购问题里：你的门只看动作，还是也看动作的输入？

拒付清单暴露了边界的所有权

Duet 的四道门之外还有一张「即使批准也不做」的清单：买卖证券、在账户之间转账。这一条比四道门更能说明问题。四道门是企业可以自己定义的东西——你想加一道「对外发合同必须双人批」，逻辑上加得上去。拒付清单不是，它由产品方决定，写死在产品里，理由是这些动作一旦发生就不可逆、且后果由平台承担品牌风险。

于是授权边界被切成两半：可配置的一半归企业，不可配置的一半归平台。买方在合同里能谈的是前一半，后一半只能接受或者换供应商。这件事在消费级产品上看不出问题，在企业采购上，它会变成一个具体的验收分歧：企业内审要问「哪些动作在系统里根本不可能发生」。答案不是企业自己的策略文件，是供应商的产品说明。

买方的问题变了：从「有没有防护栏」到「能不能复算」

过去两年，agent 安全的采购问题是「你们有没有防护栏、有没有审计日志」。这两个问题今天都能被轻松答成「有」，因为平台把门和日志都做进了产品。答成「有」之后，买方真正该问的三个问题才浮出来。

第一，谁判的。是规则、是白名单、还是模型分类器？如果是分类器，它跑在哪个模型上，版本升级时会不会变？这不是技术洁癖。分类器换一个版本，昨天放行的动作今天可能被拒，而企业的流程设计是按昨天的行为做的。

第二，它看到了什么。只看用户消息与工具调用，和同时看工具返回内容，是两种完全不同的安全等级。前者便宜、快、抗注入污染；后者更准，但把自己暴露在注入面里。买方需要知道自己的门属于哪一种，因为这两种门的失效模式不一样。

第三，能不能复算。这是最容易被跳过、也最难补的一条。审计要的不是「系统显示通过」，而是「这一个动作、这一句授权、这一次判定、这一个结果」四件东西能对上，并且能被一个不在平台里的人重新走一遍。平台给的 dashboard 是它自己算出来的结论，不是可复算的原始记录。当监管、董事会或者甲方内审要证据时，截屏是最弱的证据形态。

为什么平台给不了这份账

不是平台不愿意做，是它的位置决定了它只能给你一半。

安全厂商的账本以「发生了什么」为单位：动作、进程、网络连接、时间戳。它擅长回答「它做了什么」，不擅长回答「它被允许做什么、依据哪一句」——后者属于业务授权模型，长在企业的身份系统和应用里。模型厂商的账本以「用户说了什么、模型决定做什么」为单位。它天然知道授权来自哪句对话，但它看不见 agent 在终端上执行的每一条命令，也看不见网关之外的东西。两本账都真实，都不完整，而且都不在买方手里。

还有一层商业动机。观测与审计是这两类厂商正在争的入口。CrowdStrike 的首席执行官在收购公告里说得很直接：「当监管者或你的董事会问你这个 agent 做了什么，回答『模型干的』不是答案」。紧接着一句是「Fiddler 是每个 agent 的飞行记录仪」。这句话既是产品定位，也是它对审计权的宣示。谁定义「记录什么算记录」，谁就定义了验收标准。

第三层是口径。同一件事在三本账里有三个名字：应用叫「用户批准了这次付款」，网关叫「一次模型调用放行」，终端叫「一条进程执行成功」。要把它们对成一条链，需要有人在自己的账本里先定义「授权单元」——哪一级的批准算授权、一次授权覆盖几个动作、跨平台的动作怎么编号。这个定义权，现在没有任何一家供应商在卖。

这对国内买方意味着两件事

第一，内审要的是可追溯的判定记录，不是产品截图。国企、央企、金融的背景里，「谁批的」这个问题最终会落到一个能被检查的形式。这个形式是一条记录，带时间、带动作、带判定依据、带判定者（人或者某个版本的分类器）。平台后台的统计页回答不了它，因为它统计的是结果，不是判定过程。

第二，采购条款要开始写「门的定义」，而不是「门的有无」。可写进标书的技术条款至少有四条：审批判定的执行点在哪一层（终端、网关、应用内）；判定者是规则还是模型，模型版本变更的通知机制是什么；一次判定保留哪些字段、保留多久、能否导出成机器可读格式；跨平台（多个 agent 框架、多个模型供应商）的动作能否归到同一个授权编号下。这四条都能被第三方复核，因此也都能被写进验收。

这两件事合起来指向同一个空位：一个不属于任何一家平台、能被买方自己或者第三方复核的授权决策账。它不是又一个安全产品，它是一份记录规范加上一个能独立重算的实现。

边界：什么时候不需要这套东西

把话说完，也要说清哪里不适用。

单人或者十人以内的小团队，用 Duet 这类消费级主动型 agent，四道门已经足够。你的风险不是审计，是误发一封邮件；你的时间成本比合规成本贵。这时候去搭授权台账是浪费。

纯离线、不触网、不碰资金与对外沟通的内部自动化，也不需要。没有不可逆动作，就没有需要人批准的边界；这类系统真正需要的是可回滚的版本管理，不是审批门。

已经上了单一平台全栈的企业，短期也不需要另建一套。你的门和账都在一家手里，代价是议价权，不是缺证据。真正需要的是当你要换供应商、或者要同时跑两三家的时候，提前想清楚账怎么合。

还有一条残余风险要承认：分类器门禁的失效分布，只有制造方掌握。买方能观测到的是误报率和升级率，观测不到「本应拦而没拦」的比例——那需要标注过的测试集，而测试集的构造权在供应商手里。这是这一类门禁的结构性弱点，不是某一家的问题。

我们的判断

agent 的安全正在被平台收编，这个方向不会逆转，因为门必须装在运行时旁边才有效，而运行时已经不在企业机房里。收编带来的不是「企业不用管了」，而是责任重新分配：平台负责「门在不在、判得准不准」，企业负责「门管的是不是我该管的动作、账能不能拿出去」。

所以未来一年买方验收的重心会从功能清单移到证据清单。功能清单问的是「你有没有」，证据清单问的是「给我看这一次」。前者能被市场部答完，后者只能被跑过生产的人答完。

我们也把话说清楚：我们自己卖的不是又一道门。门已经有人做了，而且做得比我们好。我们卖的是门的记录能被别人复核——一份不属于供应商的账。这个位置在今天的市场上是空的，因为两家最有能力做这件事的公司，恰好是门的两半的主人。

给你的三个动作

第一，本周挑一个已经上生产的 agent，问它最近一次不可逆动作：谁批的、依据哪句指令、判定发生在哪一层、记录存在哪里。四个问题里能答上三个的，已经比多数企业强。

第二，把这三个问题写进下一份采购或续约条款，要求供应商以机器可读格式提供判定记录，并写明模型版本变更时的通知义务。条款比问卷有用，因为它是可执行的。

第三，如果你们同时跑两个以上 agent 平台，做一次小规模的对照：拿同一个业务动作，在两套系统里各跑一次，看两边的记录能不能对上。对不上，就是你未来审计时的缺口，现在补成本最低。

留一个问题给读完的人：如果明天监管来要过去三十天里所有由 agent 发起、金额超过阈值的付款及其批准记录，你能在多长时间内给出一份能被人复核的清单？

答不上来，缺的不是合规意识，是那份从来没有人替你定义过的授权单元。

来源

本文外部数据全部来自下列公开页面，访问时间为 2026 年 11 月 9 日。厂商自报与媒体报道已分别标注。

Anthropic，Introducing Claude Duet，2026-10-21（四道审批门、拒付清单、分类器机制的第一手说明）

Anthropic，How we built Claude Code auto mode（分类器两段式结构、93% 人工批准率、0.4% 误报率、连续拒绝升级规则）

Anthropic，Claude Duet 产品页（研究预览范围、连接器数量、虚拟机形态）

CrowdStrike，CrowdStrike to Acquire Fiddler to Deliver Agent Observability，2026-11-03（未披露对价；Kurtz 原话）

CrowdStrike，CrowdStrike to Acquire Dreadnode to Advance AI Trust，2026-11-03（百余种攻击手法与框架映射）

CrowdStrike，CrowdStrike Introduces the AI Kill Switch for AI Safety，2026-11-03（网关先执法、端点随后；阻止重启与切断网络访问）

CrowdStrike，CrowdStrike Delivers AI Security and Safety for the Enterprise，2026-11-03（agent 层钩子覆盖的客户端清单、Claude Cowork 虚拟机内传感器）

Wall Street Journal，CrowdStrike to Buy Two AI Security Startups for $495 Million（总额与拆分为媒体读数，公司未披露；正文有付费墙）

DigiCert，Latest DigiCert Research Shows AI Security Risks Already Hitting Enterprises, with 78% Reporting Incidents，2026-06-25（1001 人、美英澳、2026 年 5 月实地访问；78%、75%、半数治理项目、86%、47%）

The Deep View 经 MarketScale 转载，Half of enterprises hit by AI agent security incidents（把 78% 拆成「约一半为 agent 直接相关事件」的二手读数，DigiCert 原稿无此句，仅作线索）

The Next Web，CrowdStrike agrees to buy AI security startups Fiddler and Dreadnode（Fiddler 称评测成本可降最多 98% 属厂商自报；Kill Switch 措辞的媒体复述）