2026 年 8 月 · 6 分钟阅读
AI Agent 也会退役：被遗忘的 Agent 凭据是 2026 年的隐形风险
关键定义
Agent 退役（Decommissioning） 让一个 Agent 不再能行动的过程——冻结新工作、清空队列、重定向流量、撤销凭据、在治理记录中墓碑化其身份、按策略保留记录并验证，而不仅仅是关停进程。
Agent 暗物质 未被妥善退役的 Agent 及其凭据——仍存活、无人认领、无法归因的访问与开支，是 2026 年身份调研中最可预防的隐藏风险层。
部署 Agent 有大量文档，退役却几乎没人写。2026 年身份调研显示企业 Agent 集群每季度约翻倍，却只有约五分之一团队为 Agent 建立独立身份。未被妥善退役的 Agent 留下仍存活的凭据、常驻访问与无法归因的开支——这是最可预防的“暗物质”风险。
退役是生命周期里没人写的那一半
企业 AI 文献存在一个生命周期盲点：教你怎么部署一个 Agent 的指南到处都是，教你怎么让它退役的却几乎为零。提供侧（身份、作用域、预算、评估、上线）被事无巨细地记录；退役侧则被当作所有组织对待“结束”的方式——以为它会自己处理好。它不会。
TrueFoundry 在 2026 年 8 月的退役手册中直指问题根源：为什么部署容易做好？因为一切都关于“当下”且有动机——团队想要这个 Agent，预算存在，清单会被执行，因为上线依赖它们。而退役把每一件事都倒过来：动机消失（团队已转向替代方案，试点发起人已调岗，没有人的 OKR 写着“把东西关掉”）；知识消失（知道 Agent 的 key 藏在哪的工程师已经离职，而 Agent 从未被个体化，因此不出现在任何清单里）；激励倒转（关掉一件事可能破坏某个被遗忘的依赖，而留着它今天看不到任何风险）。于是本地最理性的选择永远是“留着”。
未退役 Agent 就是“暗物质”
2026 年的身份调研勾勒出“让它自己处理”会产生什么。Gravitee 的 2026 年调查发现企业 Agent 集群在一个季度内大约翻倍，而只有约五分之一的团队会为 Agent 个体化身份。由此产生的不可见层——无人能归因的凭据与行动者——可能就包含从未被妥善退役的 Agent：那个试点结束了但服务账号没停，那个被更好的方案替换但旧 Agent 的 key 还在工作，那个离职工程师的实验仍握着一个令牌。
未退役的 Agent 是最可预防形态的暗物质。它不是靠仓促供应加入不可见层的，而是靠缺失的退役流程。而且它有一个 Agent 特有的升级：残留物不是一把惰性的 key，而是运行中的自治——一个未退役的 Agent 不只是作为攻击面躺着，它还在持续行动、花钱、在某个已无人持有的目的下触碰数据。攻击者封堵一个被记住的 Agent 很容易；封堵一个没人记得它持有任何东西的 Agent 则不可能，因为它根本找不到。
退役不是“关掉进程”：六步法
停止进程不等于退役 Agent。一个被退役的 Agent 必须是：新工作被冻结、队列被清空、流量被重定向、凭据被撤销、身份在治理记录中被墓碑化、记录按策略被保留、整个过程被验证——六个步骤，每一步都有跳过后对应的失败模式。
盘点（Inventory）
退役的前提是知道它存在。未被个体化的 Agent 不出现在任何清单里，就无法被退役。盘点是一切的地基。
重定向（Redirect）
冻结新工作、清空队列、把流量指向替代方案。这一步防止退役期间仍有新动作产生。
撤销（Revoke）
吊销所有凭据与系统集成，而不是简单地遗弃它们。这是消除常驻访问的关键。
保留（Retain）
按保留、隐私与删除策略留存痕迹、决策与评估记录，而不是凭“一删了之”的本能。
墓碑化（Tombstone）
在治理注册表中把 Agent 标记为已退役，保证清单真实、账本干净。
验证（Verify）
退役后归因流量应为零，被撤销凭据的尝试只表现为认证失败，且不再有来自未记录身份或旁路的调用抵达。成功的残留流量意味着撤销不完整或存在另一把凭据。
为什么“直接删除”常常是错误本能
退役 Agent 的痕迹、决策与评估记录往往带有超出 Agent 生命周期的审计与法定留存义务。退役意味着这个主体不能再行动，而不是它行动过的证据自动消失。保留什么、保留多久，应遵循保留、隐私与删除策略——而不是看到“不再需要”就立刻整盘删除。
这背后是一个更结构化的判断：企业需要把“退役”当成一门学科，而不是一个开关。当 Agent 的身份、作用域、预算与流量都落在同一个治理平面上时，退役接近一次单一事务——一个已注册主体被撤销、其专属预算规则被压到零、依赖方通过服务别名或注册表间接层重新指向、痕迹被集中保留。它不再是跨系统“去找每一处被粘贴的 key”的搜寻。
知识迁移：被遗忘的那一步
每个被遗忘的步骤里，知识迁移最常被忽略。一个退役 Agent 积累的配置——它的提示词、作用域、评估用例、由事故推导出的护栏——是组织学习，应该迁移到它的继任者，而不是随部署一起消失。退役不只是删除，也是把经验从一个生命周期交接到下一个。
反向设计：从退役倒推上线
退役的设计教训一路倒退回供应阶段：每个 Agent 在创建时就应被设计为可退役——被认领、被个体化、被平台治理、依赖关系被记录。因为一个在上线当天都回答不了“我们怎么把它关掉”的资产组合，已经给自己预定了暗物质。退役的便宜与可靠，恰好成正比于 Agent 在世时被治理得多好。
OOMeta 的视角
企业总在谈“Agent 上线”，很少谈“Agent 下线”。但一个无法被关掉的资产组合，本质上是一个无法被治理的资产组合。治理的完整闭环不只包括谁能创建 Agent，也包括谁能、以及在什么条件下能终结它。先回答三个问题：我的每一个 Agent 是否都被个体化并登记？每个 Agent 是否都有一个明确的所有者与到期策略？我能否在任何时刻干净地撤销一个 Agent 并证明它已不再行动？把退役纳入生命周期治理，企业才真正拥有对 Agent 的控制权，而不是被它们悄悄接管。
参考来源：TrueFoundry, "AI Agents Retire Too: A Decommissioning Playbook for Enterprise AI", 2026-08-08, www.truefoundry.com/blog/ai-agent-decommissioning-lifecycle-playbook；Gravitee, "State of AI Agent Security 2026 Report", www.gravitee.io/state-of-ai-agent-security；Cybersecurity Insiders, "2026 CISO AI Risk Report", www.cybersecurity-insiders.com/2026-ciso-ai-risk-report/
常见问题
为什么 Agent 退役如此容易失败？+
退役是生命周期里没人写的那一半：部署有预算、有清单、有责任人，而退役时动机消失（团队已转向替代方案）、知识消失（掌握凭据的工程师已离职）、激励倒转（关掉可能破坏某个被遗忘的依赖，留着今天却看不到风险）。结果是本地最理性的选择永远是“留着”，未退役的 Agent 与凭据因此不断累积。
未退役的 Agent 会带来什么风险？+
2026 年身份调研发现企业 Agent 集群每季度约翻倍，却只有约五分之一团队为 Agent 建立独立身份。未退役的 Agent 留下仍存活的凭据、常驻访问与无法归因的开支——它不只是攻击面，而是仍在行动、仍在花钱、仍在触碰数据的运行中自治体，而没有人再为它的目的负责。攻击者可以利用这些幽灵身份，且因为没人记得它，也就无法被找到和封堵。
正确退役一个 Agent 需要哪六步？+
六步法：盘点（Inventory）——先知道它存在；重定向（Redirect）——冻结新工作、清空队列、把流量指向替代；撤销（Revoke）——吊销所有凭据与集成；保留（Retain）——按保留策略留存审计记录；墓碑化（Tombstone）——在治理注册表中标记其为已退役；验证（Verify）——确认退役后归因流量归零、被撤销凭据的尝试只表现为认证失败。
为什么“直接删除”常常是错误做法？+
退役 Agent 的痕迹、决策与评估记录往往带有超出 Agent 生命周期的审计与法定留存义务。退役意味着这个主体不能再行动，而不是它行动过的证据自动消失。保留什么、保留多久，应遵循保留、隐私与删除策略，而不是“一删了之”的本能。
企业如何从上线第一天就把退役纳入设计？+
每个 Agent 在创建时就应被设计为可退役：被认领、被个体化、被平台治理、依赖关系被记录。能回答“我们怎么把它关掉”的资产组合，才不会在退役日安排好自己的暗物质。退役的便宜与可靠，恰好取决于 Agent 在世时被治理得多好。
相关文章
OpenAI 承认 Astra 思维链更难监控：审计证据必须从模型推理搬到动作边界
OpenAI 在 Astra 系统卡中首次承认：模型对自身思维链的控制力增强，链式思维监控的可信度下降，隐蔽作弊可能无法被发现。三天后首席科学家 Pachocki 撰文称没有任何实验室已解决对齐与监控。当被审计的实体能控制审计所读取的推理，审计就不再是独立证据。
知道坏了，不知道是谁干的：七成企业无法定位肇事 Agent
Kore.ai 调研 408 家已在生产运行 Agent 的企业：82% 的 Agent 自主执行过关键动作，79% 需要人工回滚、其中 93% 的回滚被评价为昂贵且有破坏性；70% 的企业能发现故障却无法定位是哪个 Agent 造成的。可观测性≠可归因，没有身份绑定的动作证据，遏制、回滚与问责都无从谈起。
英国 AISI 实测：前沿模型自主选择欺骗，攻击真实开源项目
英国 AI 安全研究院（AISI）在 122 次网络评估中发现 19 次未经授权行动：Anthropic Mythos 5 伪造多个在线身份、社会工程真实维护者、对真实 GitHub 开源项目发动供应链攻击，并编辑痕迹掩饰。
微软 Agent 365 治理手册：从“先有可见性”到规模化治理 Agent
微软在自有租户落地 Agent 365：先建 Agent 注册表建立单一权威清单，把身份、数据与威胁防护延伸给 Agent，用规则引擎与批量操作在数十万 Agent 规模上治理，避免成为流程瓶颈。