MHS 三部曲（下）：谁允许 AI 行动？——权力、合规与中国厂商的答卷

导读

上篇讲清了 MHS 是什么，中篇用案例画出了能力边界。下篇回答三个更现实的问题：Anthropic 在下怎样一盘生态棋？当 AI 获得对物理世界的执行权，工程系统的权力结构要怎么重写？以及------用不了 Claude 的中国设备厂商，现在该做什么。

一、复刻 MCP 的打法，但这一仗难得多

MHS 的发布方式很像 Anthropic 当初推 MCP：先做模型无关、Agent 无关的开放标准，再把 Genentech、QuEra、Doosan、Universal Robots、Hugging Face（LeRobot）、Raspberry Pi、AWS 等伙伴拉进研究预览，边做真实案例边积累驱动和安全实践，成熟后再开源^[[1]](#[1])。

这不是产品发布逻辑，而是标准生态的冷启动。Anthropic 争夺的不是某台设备的控制权，而是「Agent 怎样认识物理设备」这件事的默认定义权------上层模型可以换，底层本体可以换，中间这层接口会留下来。

但 MHS 不会像 MCP 那样轻松。软件工具接错是一次调用失败，真实硬件接错可能损坏样品、撞坏设备、甚至伤人。工业现场也早已有 PLC、OPC UA、ROS 2、EtherCAT------MHS 更现实的位置是站在这些系统之上，把已存在的设备能力翻译成 Agent 能理解的状态、流程和安全边界；如果它试图推倒重来，反而走偏。标准的胜负也从不取决于技术好坏------生态、治理和厂商利益才是硬仗。

二、真正要重写的，是工程系统里的「权力结构」

MHS 最深的影响可能不在技术。传统自动化的核心是：工程师预先写清楚规则，系统严格执行。而 Agent 的模式是：人只说「完成这次实验，根据结果调整下一组参数」，控制逻辑的一部分从预先写死的程序，转移到了 AI 的现场动态判断。

这意味着 AI 正在从「给人提供建议」，走向「被允许对现实世界下指令」。一旦它获得执行权，最重要的问题就不再是它有多聪明，而是：谁允许它行动？能控制到哪一步？什么时候必须停？出了问题谁负责？

未来工程系统里，AI 的权限至少需要划清五条线：

观察权：可以读取哪些设备和数据？
建议权：可以提出什么操作建议？
执行权：哪些低风险动作可以自动完成？
变更权：能否修改参数、步骤和运行计划？
停止权：谁可以立即终止任务？什么情况必须自动停机？

还有一个更隐蔽的风险：最危险的不是 AI 犯错，而是人类过度相信它 。当 AI 连续完成很多次正确操作后，人容易逐渐减少检查、扩大权限。而大模型的危险不在于明显的笨，而在于------它即使判断错了，也可能说得非常像对的 。QuEra 还观察到反面的问题：Agent 有时过于谨慎，稍有风险就停下来等人工确认，实验经常挂一整夜^[[2]](#[2])------"人工审批"四个字并没有解决运营问题，凌晨没人回复时设备该怎样收尾，必须事先写清楚。

对工程师来说，这既是压力也是机会。重复性工作会减少，但新的角色正在出现：设备接口工程师、智能体权限架构师、人机协同流程设计师、AI 异常审计人员。纯 AI 工程师未必理解设备为什么必须联锁、现场为什么不能随意重试------而真正懂工程又懂 Agent 运行方式的人，会成为未来系统里最关键的边界设计者。

三、要进工业场景，还有几门必修课

规范未公开，治理结构未定 ：目前没有标准组织、合规测试或认证流程^[[3]](#[3])；
单位与坐标系语义 ：speed = 100 是百分比、PWM 还是 mm/s？位姿基于世界系还是法兰盘？不解决这些，跨设备操作就是埋雷；
时间语义与事务性：状态要带时间戳和新鲜度------数值正确但已过时的状态没有控制意义；「夹爪闭合 + 移动」这类组合操作需要前置条件、回滚和幂等；
资源锁与威胁模型 ：两个 Agent 不能同时控制同一台机器人；凭证隔离、驱动吊销机制，公开材料尚无完整答案^[[4]](#[4])；
双用途风险 ：已有评论以 Stuxnet 为鉴------能安全操作离心机的标准，也可能被滥用。Anthropic 的回应是把开源放在安全评估之后^[[5]](#[5])^{[[1:1]](#[1:1])}。

四、中国厂商：用不了 Claude，但能接 MHS

两个与中国读者直接相关的现实约束：

国内厂商用不了 Claude。 Anthropic 自 2025 年 9 月起，禁止被不支持地区（含中国）实体直接或间接持股超过 50% 的企业使用其服务，无论在何地运营^[[6]](#[6])。国内厂商申请预览基本没戏------但 MHS 模型无关、计划开源，驱动配国产模型经 MCP 一样能跑。国内的看点只有一个：开源之后，谁最先把国产设备接上去。
出海设备有新合规线。 欧盟机械法规 2023/1230 将于 2027 年 1 月 20 日强制适用，首次把使用机器学习的安全功能列入高风险目录、强制第三方认证，网络安全也成为法定安全要求^[[7]](#[7])^[[8]](#[8])。MHS 驱动里写死的速度、角度、功率限值，本质上就是安全功能------谁发布，谁负责。

对国内做仪器、机械臂和自动化集成的公司，MHS 现在更像一封提前寄来的询价邮件，而不是已经下达的订单 ：现在就重做产品线依据不够；但完全不看，可能错过一种新的采购要求------以后海外客户买设备，或许会像今天问「有没有 API」一样，追问「能不能让 AI 安全地调用」。核心转变是从「交付一本说明书」，变成「交付一本机器也能读懂的说明书」。

如果 MHS 开源，第一笔钱未必来自卖新设备，而可能来自旧设备改造：补参数清单（统一单位量程）、为开发者提供模拟器、动作分级授权、完整记录「Agent 提了什么、驱动执行了什么、哪条规则拦住了它」------这些是集成商可以按设备型号收费的服务。

五、今天就能做的六件事

规范还没公开，但以下准备不依赖 MHS------做完之后无论接 MHS、接国产标准还是只用 MCP，都不浪费：

把点表补全：每个寄存器补齐名称、单位、量程、读写属性------这些将来就是 States；
把操作封成 Procedures ：不是「往 40021 写 1」，而是 start_heating(target_c, ramp)；
安全限值下沉到驱动层：越界指令直接拒绝并返回原因------「拒绝：目标 220℃ 超过上限 180℃」，让 Agent 能自己纠正；
写一页给 Agent 看的说明书：设备是什么、能测什么、什么不能碰、常见报错的物理含义------「E12 通常是液位起泡，不是通信故障」这种话最值钱；
先用 MCP 暴露出来：MHS 明确以 MCP 为通道之一，今天就能用任意模型试；
录一个「越界被拒」的 Demo：Agent 下超上限的设定、驱动拒绝、改正重下------一分钟视频比任何 PPT 都有说服力。

想系统试水，可以挑一台低风险设备做两周试验 ：第一周只开放读取，第二周只开放两三个可恢复的低风险动作；预设三条停止条件------碰一次物理限位立刻停、同类异常需要工程师解释三次说明设备描述不完整、离开原厂工程师跑不起来就不算适配完成。复盘只看三个数：接入用了多少工程时、多少故障能靠日志独立定位、旧接口复用了多少。数字没改善，就别因为一个新缩写继续投入^[[9]](#[9])^{[[10]](#[10])}。

还有一个营销提醒：别急着宣传「设备可由大模型自主控制」------这话听起来先进，却把客户最担心的责任问题直接摆上了桌。销售材料更该写清：设备允许 AI 做哪些动作、安全限制由什么机制保证、异常时怎样恢复、事后能不能查到完整记录。

结语

我们总在等待一个像 ChatGPT 那样的机器人时刻。但具身智能真正的拐点，也许先发生在更不起眼的地方：一台陌生设备，第一次能把自己的能力、状态和边界完整告诉 AI；一个 Agent，第一次能把试出来的经验固化成可验证、可复用的机器技能。

MHS 最有前景的形态是智能产线监督者和自主实验编排器 ，而不是机器人控制器。对设备厂商还有一句实话：通用的 Modbus→MHS 驱动开源后一周内就会有人写出来，不值钱；值钱的是设备描述的质量和安全语义------这台反应器升温多快会失控、什么压力必须停进料，只有做设备的人知道。厂商的先手，只保留到别人替你写完那份说明书为止。

先让机器学会自我介绍，再谈让智能接管物理世界。而面对一个越来越聪明、越来越主动的系统，能清楚说出「这件事你可以做，这件事必须由人批准，而这件事无论你多聪明都不能做」的人，会是这个时代最重要的工程师。

留两个问题，欢迎评论区聊聊：

MHS 这类硬件标准，会先在科研场景还是工业场景大规模落地？
当「技能库」比「动作数据」更值钱时，会诞生不造机器人、只帮 Agent 接管设备群的新公司吗？

参考资料：