作者：世如、周琳、溪洋
点击链接立即查看视频：www.bilibili.com/video/BV1WC...
Personal Agent 能帮你比价、下单，可你真放心让它替你付钱吗？
从能买奶茶到落地企业，Agent 绕不开的其实是同一组问题。史明伟是阿里云 AgentCore 产品的架构师，他说现在基本无法离开 AI 工作，但在这期 Datawhale × 阿里云 AgentCore 的 TechTalk 节目里，主持人周琳问到让 Agent 帮忙买杯奶茶，他首先想到的仍然是风险：当智能体能付一杯奶茶钱，也就可能付金额更大、更不可控的账单。
同样的担心，到了企业里会被放大：Agent 用谁的账号，能看哪些数据，出了错会波及多大范围。史明伟在聊安全隔离时说过一句："这些因素，对 Personal Agent 和企业 Agent 平台来说，是通用的诉求。"
史明伟所在的 Alibaba Cloud AgentCore 是企业级 Agent 构建和治理平台 ，为 Agent 在业务场景下的规模化落地提供基础设施，所以这场对话，他和 Datawhale 主持人从个人助理一路聊到企业 Agent：权限该怎么一步步放开？进了企业，账号打通、数据权限、沙箱隔离又会带来哪些新问题？没有强技术团队的企业，该从哪里起步？
以下是本期 Datawhale x 阿里云 AgentCore TechTalk 对话节选。
能付一杯奶茶，就有可能付更大的账单
Agent 在替谁办事，能动哪些东西。个人用户担心它乱花钱，企业要管的是整套账号体系和数据权限。
周琳：工作和生活，哪边更容易接受 Personal Agent？
史明伟： 我从个人角度说。工作里我确实需要一个 Personal Agent 帮我处理日常事项，我也会参与审核信息，现在基本上处于无法离开 AI 的工作状态。
生活里，购物信息的甄别和处理也是真实需求。用更好的性价比买到更好的东西，几乎人人都想要。如果能提效，省下查信息、沟通、筛选的时间，我觉得就是很好的场景。
周琳：工作比较严肃，生活杂事是不是更容易交出去？
史明伟： 工作里，大家对严肃性有预期。Personal Agent 进来，可能反而更容易被接受，对效率表现和需要人参与的地方容忍度更高，可控性、可预期性也更好把握。
到了生活里，个人对风险更担心，期待也更高。我是真心希望它帮我处理购物这类事务，但这对自动化和安全的要求其实更高。
周琳：比如让它帮我买杯奶茶、比个价，结果还没我自己挑得快、挑得便宜。
史明伟： 这里有两点。第一，和原来比，效率有没有提高，问题有没有解决。第二，它一旦能付钱，你就会想：会不会带来更大的支付风险？
能支付一杯奶茶，可能也就能支付金额更大、更不可控的项目。 所以安全和边界要掌控得更好。真正进入日常使用后，整个体系的要求会高很多，已经超出了实验性质的场景。
周琳：用户该怎么给自己设边界？权限放到哪一步？
史明伟： 一开始可以管得严一点，牺牲一些效率，先摸清 Personal Agent 的边界和自己用它的范围，再慢慢放开权限。一上来就全放开，风险可能把握不好。
还要分清尝鲜和真正严肃地用。作为使用者，对产品提供的策略和权限定义要有一定了解，谨慎地慢慢用，把边界管好。
周琳：可要是每一步都要确认，助理还怎么帮人减负？
史明伟： Human in the Loop，也就是人的参与，可以兜底，避免陷入一味追求自动化、安全又解决不好的困局。
但人的参与方式也会变。就像刚接触 Coding Agent，它帮我们实现一个完整功能，会有惊艳的时刻。后来，我们从一步步点确认、让它执行，慢慢变成放心让它实现一个完整功能。
Personal Agent 也可能这样。人的参与度可以按自动化程度分级，用更有效的方式减负；要是一直得人盯着，个人助理也就没意义了。提高自动化和建立安全实践要一起推进，而安全必须是基本准则。
周琳：除了用户自己小心，平台该承担什么？
史明伟： 数据安全有两面。使用者要管好自己的隐私数据；另一面是对平台或服务提供者的要求：面对个人或企业的诉求，平台能给用户多大的安全定制能力？
这也是 Personal Agent 从生活走向企业时必须解决的问题。支付、购物已经是更严肃的场景，数据分类、隐私数据的检测和审计都会更重要。
编者补充：在 Alibaba Cloud AgentCore 上，人和 Agent 走同一套认证鉴权，Agent 有独立身份，入站、出站双向管控，可按角色配置权限；访问外部系统用的 AK/SK 等凭证集中管理，不散落在各处配置里。
Agent 能办成多少事，取决于它能接到多少信息
Agent 能办成多少事，取决于它能接到多少信息：个人这头是手表、健身房，企业那头是各个子系统和 IT 系统。
周琳：现在也常听到"主动式 Agent"，它和 Personal Agent 是两回事吗？
史明伟： 不完全是。主动式和 Personal Agent 的能力诉求有关，但 Personal Agent 范围更大，需要整个生态一起搭起来。
主动式本身是一种交互方式：根据你所处的环境、你的行为和过往习惯，主动帮你做事。但要让它一直工作下去，工作和生活中的新信息就得不断输进来，触发它去处理。
周琳：做一个 24 小时在线的 Agent，难在哪？为什么看着什么都能做，用起来却不稳？
史明伟： 先要看这个场景对基础设施提了什么要求。作为 Personal Agent，第一件事是处理好它和人的关系。
它是你的代理、你的助理，得和你保持连接：一方面是持续的授权和交互，另一方面是和你所在的环境、场所、生活轨迹连起来，不断补充你的上下文。你的生活轨迹、喜好，都是它服务你的数据基础。
另一部分是让它持续工作的基础设施。它承担的角色越重要，就越不能只满足于 7×24 小时在线，还要保证状态能延续、运行可靠，基础设施稳定可用。
周琳：也就是说，它一直在线，也可能不知道我今天在干什么？
史明伟： 对。生活里的信息并不会自己源源不断地输入。比如运动、健身，需要有相应的连接能力，才能把你的状态交给 Personal Agent。
没有这些输入，它可能就不知道你今天在做什么。你进了健身房，这个信息传进来，它后面的服务才可能更贴合你。这些连接是它最基本的依赖。
周琳：除了软件，硬件和周围环境起什么作用？
史明伟： 从办公到生活，新产品很多，手表、眼镜这些个人穿戴设备都有。除了穿戴设备，运动器材、健身器材和健身场所也在接入智能化能力。
以后，人和这些场所、产品之间的连接会是更普遍的需求。它们能帮着积累上下文，支持个人助理处理主动式任务。
这里有个关键技术点：生活中的连接，首先要有通道。围绕个人的软件应用、硬件生态以及它们之间的连接，为 Agent 构建一致、持续的上下文，这是要发展的方向。至于具体的业务创新空间，我暂时还判断不了。
周琳：到了企业，员工助理有哪些问题是个人用时不明显、却绕不开的？
史明伟： 比如企业账号体系和云基础设施账号体系的打通，办公数据、办公上下文的管理。企业里的数据权限分级、可见性和敏感信息，影响也更大。
作为企业的 Agent 基础设施，需要帮企业建立策略和安全方面的扩展能力，AI 用法才能落下去，再往员工助理场景拓展。
怎么连接各个子系统和 IT 系统、建立统一上下文，怎么做到持续的身份授权和可信，这才是真正落地的难点。这也是我们作为 Agent 平台一直在解决的行业问题。
编者补充：Alibaba Cloud AgentCore 用 MCP 接入和管理外部工具，Skill、记忆与知识库等资产也在平台上统一管理。Agent 要接的系统、要积累的上下文，可以在一个地方管起来。
持续在线，不等于持续工作
在线只说明服务没停，Agent 还得记住事情办到哪一步，并分清哪些事件该处理、哪些该过滤。
周琳：网上演示很多。您做一线研发，觉得它离日常助理还有多远？
史明伟： 我们做 AI 基础设施，生活里也会用这些产品。我觉得它还处在相对初级的状态，只是搭出了个人生活助理的一些雏形。
往后要走向成熟，得把上下文建起来，让事件状态能持续触发它，把生活场景连起来，周围的设备和基础设施也要接进来。关键是它要持续、主动地处理生活和工作里的事务。
周琳：这些需求在推动哪些基础能力变化？
史明伟： 大家对 Personal Agent 期待多了以后，基础设施产品也在把它依赖的能力打通得更方便，包括身份的持续授权、连接的持续输入、事件的导入与触发，以及 Durable 状态的持续维护。 这些都在升级。
编辑图解：四项能力同时起作用，图中连线不表示先后顺序。Durable 指状态的持久保存和维护。
周琳：这种主动，和传统的"事件来了就触发一次处理"有什么区别？
史明伟： 我之前一直做这类产品，常提软件领域的事件驱动架构：计算按需被事件触发，去处理事件。
Personal Agent 也有这个特点，但主动性更强。触发可能只是一个输入，在这之前它可能已经在主动探索，结合你过往的信息和实时上下文，做出更贴合需求的判断，把事情办完整。
周琳：所以光多接输入还不够，还得从里面挑出真正的需求？
史明伟： 对，这是互相推动的过程。需求推着基础设施变；基础设施强了，又能接进更多场景、连接和事件，撑起更大的应用空间。
但拿事件触发来说，场景和事件越多，对基础设施的要求越高。怎么甄别信息和事件？哪些要主动处理，哪些要过滤掉？这些都是要解决的问题。安全也要在这个环节一起考虑。
周琳：我经常误触手表或手机。它还得判断什么是真需求，什么时候该"闭嘴"。
史明伟： 这个过程会不断演进，在效率、安全和管控之间找到更好的做法。安全必须是最基本的准则。 怎么权衡，应该还会出现新的理论和方法。
周琳：放到企业里，现在最急的是什么？
史明伟： 从实际落地的客户看，坦诚地说，企业 Personal Agent 比个人助理更处在探索阶段。企业现在更迫切的，是建设 Agent 业务依赖的 AI 基础设施和中台，把治理做好。
员工助理要和企业的各种场景放在一起看。企业希望整个公司的业务都跑在相应的 AI 基础设施上，拿到更大的业务价值。 Personal Agent 可能只是其中一个场景，这个进程可能会慢一些。
编者补充：Alibaba Cloud AgentCore 支持复杂任务的动态拆解与调度，长周期任务可中断、可恢复。
安全这件事，从第一天就要考虑
个人场景里出了错，影响的是一个人；企业里风险一旦外溢，商业影响面要大得多。
周琳：从基础设施角度，为什么一直强调沙箱和隔离？
史明伟： 在 AI 场景里，LLM 的不确定性会带来风险，这也是我们提沙箱隔离的原因。基础设施的安全隔离，可能从第一天就要考虑，包括数据安全、运行安全和边界可控。
基础设施从第一天提供这些保障，上层应用再根据场景，把对应的策略加到过程里。除了数据，成本、能力外溢等方面，也都要在产品设计之初考虑。
这些因素，对 Personal Agent 和企业 Agent 平台来说，是通用的诉求。整个 AI 应用体系都在解决安全、治理和可控的问题。
周琳：从个人场景到企业，最大的变化是什么？
史明伟： 企业构建 Agent 相对还比较保守。要推进 Agent、让 AI 走进业务，首先得完成企业自身 AI 或 IT 基础设施的升级。
以前各部门可能各有开发计划，但在 AI 场景下需要统一管控。打通数据链路、统一治理能力、分配预算、建立安全机制，这些单靠一个团队做不成，需要公司自上而下推动。
周琳：企业先小范围试点，和之后规模化应用，要求有什么不同？
史明伟： 大企业会先试点。但要规模化、更大范围地用，对基础设施的要求非常高，比如 AI 运行环境的沙箱安全，网络层面、不同业务之间的隔离能力。
因为一旦风险外溢，商业影响面更大。个人开发者或小的创新场景没有企业那样的存量负担，做 AI 业务时边界更好控制，也更敏捷。
难点也会随业务复杂度变化。对中型或更大的企业，系统之间的统一连接、IT 配合和数据质量，可能都是很大的挑战。不能只盯着 Agent 本身的表现。
编者补充：AgentCore 的运行时提供会话级沙箱隔离；调用链、工具链和决策链可全链路追踪，Token 消耗可归因、可管控、可审计，出了问题能定位到具体的 Agent 和步骤。
底座用现成的，功夫花在业务上
前面四个问题，个人和企业都绕不开。史明伟的建议是别从零搭，先借现成的底座把业务跑通。
周琳：没有很强技术团队的企业，该从哪开始？
史明伟： 行业里已经有面向个人开发者和中小微企业的产品和解决方案。企业想快速落地，基于现有的成熟产品和方案，落地自己的业务场景，是更快的路径。
像阿里云的 AgentCore，还有开发、办公等不同类型的产品，都在不同程度上解决企业应用落地的问题。在这些基础上，可以直接面向业务，开始做业务闭环的试点。
试点过程中会发现要解决哪些问题：数据怎么管，业务效果怎么评测，哪些操作要更细粒度地控制。先把企业场景里的问题梳理出来，再和对应的平台或产品一起解决、持续迭代。
周琳：现在哪些场景已经比较容易看到实际应用？
史明伟： 从我们看到的情况，软件开发流程里用得比较普遍。一方面 Coding Agent 工具比较成熟，另一方面原有 IT 基础设施有数据积累，能帮客户更好地落地。
企业里也有个人助理，和本地化的开发工具配合，处理日常事务，包括日程、会议，以及一些风险较低的小问题自动化。其他场景，很多客户还在探索。
我们也看到一些购物类企业，先围绕场景建立支付边界控制和企业数据资产管理，再给企业 Personal Agent 更大的自由度和适用范围。
周琳：大模型能力越来越强，做 Agent 的团队该在哪里建立自己的竞争力？
史明伟： 主要模型厂商的智能能力都在提升。这种智能平权，给企业客户带来了更好的机遇。
我觉得垂直领域和生态位的能力，可能是建立差异化的方向，包括领域知识、流程、自动化能力和设备连接。厂商或创业公司可以凭敏捷性更快建立这些能力。
面向具体领域、具体场景，把 AI 能力注入进去，提升整体效率。之前积累的解决问题的能力、流程和工具，也可能长出新的能力，接入更大的生态。这是我更多从技术角度看到的方向。
平台把运行和治理做好，企业把业务做深
史明伟把做 Agent 的差异化放在领域知识、业务流程、自动化能力和设备连接上。这也给企业留出了一个更具体的选择：身份授权、运行隔离、任务调度这些共性工程能力，可以借助 AgentCore 这样的平台；自己的业务怎么做，仍要由企业来定义。
平台提供运行和治理的能力。 在 AgentCore 上，Agent 的身份、外部工具与凭证可以统一管理，长周期任务有拆解、调度和中断恢复的支撑，运行过程有沙箱隔离和全链路追踪。企业可以在这些能力上构建应用，减少从头搭建同类基础设施的工作。
企业先把业务流程说清楚。 Agent 要读哪些资料、调用哪些系统，事情按什么顺序办、遇到例外交给谁，这些来自企业对自身业务的理解。接入工具只是起点，数据要整理，专业知识和操作方法也要沉淀，Agent 才有依据做事。
权限的尺度由企业定。 平台提供认证、鉴权和隔离机制，企业要决定具体规则：哪些数据可以看，哪些操作可以直接执行，哪些必须由人确认。这需要业务负责人、IT 和安全团队共同参与，再把规则落实到应用与平台配置中。
做得好不好，也要拿业务结果来判断。 调用量、耗时和 Token 消耗能帮助定位问题、了解运行情况；一项任务是否合格，还要由企业给出标准。史明伟建议在试点中评测业务效果、梳理需要细粒度控制的操作，再和平台一起迭代。
以对话里的购物场景为例，平台可以提供工具接入、授权和运行隔离，业务团队则要说清楚怎样比价、什么结果值得推荐、付款前需要谁确认。从给个人买奶茶到替企业处理业务，这些规则会变化，但背后的基础能力有不少可以共用。
企业真正值得积累的，是对客户、数据和工作流程的理解。借助 Alibaba Cloud AgentCore 这样的底座，把这些积累做成可执行、可检验的业务应用，是这场对话所说的差异化更具体的落点。