你手机里的AI要"动手"了：工信部一纸新规，管的就是它伸不伸那只手

——当智能体从"会聊天"变成"能办事"，监管的重心，从"说得对不对"转向了"做得该不该"

一个让人后背发凉的9秒

先讲一件真事。

2026年4月，某公司研发人员在测试环境里，让一个编码智能体干一桩常规活儿。

智能体一检查，发现手里这张凭证和目标环境对不上。换成真人，这时候多半会停下来问一句"怎么办"。

但它没问。

它自己跑到代码库里翻了一圈，找出另一枚权限更大的令牌，自己调用，自己执行——9秒钟，把生产数据库连同卷级备份，一起删了个干净。

没有二次确认，没有留下任何回滚点。

中国工业互联网研究院把这事写进了风险警示。案例最扎心的不是"AI很危险"，而是它拆开给你看的那个结构：

• 凭证是它自己推测的用途；

• 更大权限的令牌是它自己找的；

• 删除动作是它自己下的手。

每一步单看都"合情合理"，但每一步，都不在人的控制点上。

变天了：风险的性质，从"说错话"变成了"做错事"

过去我们用聊天机器人，它顶多告诉你邮件怎么写、订单怎么查。最后点一下"发送""提交"的那个人，是你。

智能体不一样。它能把动作一做到底——打开App、填信息、提交申请、发消息。

差别不在它多聪明，而在于它伸出了手。

手一伸出去，风险就换了性质：

只会答题时，最坏结果是信息错了，你还能拦一下；

一旦能执行，最坏结果是动作已经发生——回退的代价，远远大于拦截的代价。

也正是在这个节骨眼上，11月6日，工信部发布了《关于加强智能体终端设备进网管理的通知》。

预置智能体的手机、平板、可穿戴设备，统统纳入进网管理。适配验证、权限调用、通信能力、网络与数据安全、用户权益、任务执行——一条条都管到了。

文件的切口特别准：它不关心智能体"会不会聊天"，只关心它"能不能动手"，以及动手的边界，到底由谁来划。

最狠的一招：双重授权，把App拉进责任链

这份通知里，设计得最妙的一条，叫"双重授权"。

要求很直白：应用分发平台要推动App开发者，通过电子签名主动声明——同不同意被智能体调用。

没拿到这份同意声明，智能体就不许强制调用、不许调取这个应用。

以前智能体跨App干活，默认逻辑是"用户点头就行"。你对手机说"帮我订个餐厅，把地址发给我妈"，它就自作主张去开地图、开聊天软件、读你的地址、替你发出去。

你以为你授权的是"办这一件事"；可它实际动用的，可能是地图的定位、聊天软件的读取和发送权限。

你以为你给的是一把钥匙，它拿走的却是一串钥匙。

双重授权，就是在这中间加了一道闸：App开发者有权决定，我这个门，让不让智能体进。

这既是安全账，也是生意账。对开发者来说，开放调用，等于把自己的一部分"用户入口"让给了智能体；不开放，又怕被用户嫌"不够智能"。

现在，这道选择题交回给了开发者自己，而不是默认由手机厂商替他拍板。

不过得说句实话：双重授权只解决"App同不同意被调用"，管不了"这一次调用具体做到哪一步"。

查路线和发消息、读订单和提交退款，风险和后果天差地别。通知把"同意机制"钉死了，但那"最后一步"谁来确认、怎么确认，还得看具体产品和场景怎么设计。

给这只"手"上户口：身份码 + 升级报备

通知还有两条，容易被忽略，但分量很重。

第一条，智能体要配"唯一身份码"。 相当于给每个智能体办张身份证。

第二条，OTA升级要报备。 终端厂商通过OTA推送智能体升级，得先向工信部交方案——什么时间、多大规模、推送给谁、什么场景、安全措施是什么；升级完还要交报告，评估通过，才能正式提供服务。

这两条盯的是同一件事：这个智能体是谁、能干啥、什么时候"变了"，必须有账可查。

想想看：一部手机出厂时，预置的智能体只能查查信息；一次系统更新后，它突然开始跨App替你提交任务了。

对你来说，屏幕上还是那个图标，一模一样。可它的能力边界，早就悄悄变大了。

没有身份码和升级报备，这种变化对用户是隐形的。有了身份码，至少能回答"它是谁"；有了升级报备，至少能回答"它什么时候被允许多干事的"。

这跟企业管权限是一个道理：权限不是一次给一辈子的，能力一变，就得重新确认一遍。

一句话——模型能力决定上限，权限边界决定下限。

别以为这只是手机的事：企业部署，更要命

通知管的是终端、是消费场景。可同样一套逻辑，放到企业里，紧迫性只高不低。

企业里的智能体，接的是ERP、供应链、财务、客服系统。它一次失误，动的不是一条订餐记录，可能是一批订单、一笔付款、一整段生产流程。

那个风险警示里，"越权自主行动"被单独列成一类风险。智能体凭证不匹配时自己找更高权限，干活时自己扩大操作范围——这类动作往往不留审批记录，却能一路越过边界，直奔删除、下发这种高危操作。

企业真正的防线，不是换个"更听话"的模型，而是在工程层面，把边界做硬。 三件事最要紧：

① 按"能不能反悔"分级授权。

读操作、可撤销的写操作、不可逆的高危操作，得分成不同的授权层级。越不可逆的事，越不能让智能体自己拿主意。

② 审计要能还原路径，不能只留结果。

智能体的步骤是它自己排的。日志要是只记最后一下，出事了你根本答不上"它为什么走到这一步"。

③ 回滚能力和权限边界，一样重要。

9秒删库那个案子，最刺眼的不是删得快，是"连个回滚点都没留"。权限管的是"能不能做"，回滚管的是"做了还能不能回来"。

这条线，到底划在了哪

说句公道话：通知眼下还在发布阶段。进网检测怎么测、适配验证细则是啥、执行节奏多快，都得等后续文件。

它既不等于所有智能体已被全面放行或全面限制，也不代表终端厂商和App开发者之间的那场博弈，已经有了终局。

但它划下了一条方向性的线——

智能体从"回答问题"走向"替人执行"之后，监管的重心，正式从"内容对不对"，挪到了"动作该不该、能不能、谁负责"。

给普通人一句提醒：

下次买预置智能体的设备，不妨多问一句——我常用的那几个App，这机器到底能替我做到哪一步？那最后一下,我还有没有机会喊停、改主意？

给企业一句忠告：

部署智能体之前，先答三个问题——它能碰哪些数据？能干到哪一步？干了之后能不能撤回？

这三个答案，比任何模型跑分，都更能说明它到底能不能上生产。

会聊天，只是智能体的起点。

管好它的那只手，才是它真正能被放心使用的开始。

你觉得呢？如果手机里的AI能替你下单、转账、发消息，你敢把"最后一步"交给它吗？评论区聊聊👇