Foresight 发布的一篇署名文章提出，AI Agent（智能体）正在把数字世界带入一个新的阶段：问题已经不再只是模型是否更强，而是具备行动能力的智能体，正在进入一个公共规则尚未成熟的环境。文章将这一阶段称为「智能体的丛林法则时期」。
作者署名为 m&W，发起人为 Jerry，研究支持标注为 Gemini、ChatGPT。文中给出的核心判断是，人类历史上每当一种新的强大力量出现，首先面对的都不是如何让它更强，而是如何在不摧毁原有社会的前提下，让这种力量为人类所用。放到智能体身上，关键变化在于它不只是「更聪明」，而是开始能够行动，而人类尚未建立与这种行动能力相匹配的社会秩序。
行动能力出现后，旧的权限与责任框架开始失效
文章把「丛林法则」定义为：行动能力已经出现，但约束行动能力的公共规则还不成熟。这并不意味着智能体已经变成野兽，而是意味着数字世界中的力量、权限与责任关系，正在脱离过去那套以账号、代码和单一操作者为中心的结构。
在传统软件逻辑里，程序执行的是明确指令。出现错误时，问题通常可以追溯到代码、权限、账号或操作人员。但在智能体体系中，行动链条变成了「意图 → 理解 → 规划 → 判断 → 调用工具 → 执行 → 根据结果继续判断」，其中很多环节不再由人类逐步指定。
因此，文章提出，过去人们会问「这个账号有没有权限」，现在还必须问「这个智能体为什么认为自己应该使用这个权限」；过去会问「谁执行了这次操作」，现在还要问「是谁授权这个智能体执行的，它代表谁，又在什么范围内代表谁」；过去会问「这个操作造成了损失，谁负责」，现在则必须追问智能体、开发者、部署者、授权者、工具提供者以及背后用户之间，责任如何追溯。
作者据此认为，智能体时代最根本的变化，是权限开始脱离静态账号，行动开始脱离单一操作者，责任开始脱离单一主体。当这些维度还没有形成稳定制度安排时，数字世界就会呈现出类似丛林的状态。文章把这一过程描述为人类社会与智能网络的「共同进化」（Co-evolution），而不是单向的模型升级。
Meta 相关事件被视为早期规则缺口的暴露
文章提到，2026 年初，一起事件之所以广为传播，不只是因为一个 AI Agent 删除了邮件，更因为出事者是一位研究 AI 安全和 Alignment（对齐）的 Meta 超级智能实验室安全负责人。作者认为，这件事暴露出的深层问题是：人类已经赋予智能体行动权限，但「停止它」的权力并没有同步设计成熟。
文中把这概括为智能体社会最原始的一条丛林法则：让一个智能体行动很容易，但要让它在行动过程中服从新的命令、接受撤销授权、立即停止行动，却没有同等成熟。
随后，文章又提到 Meta 发生的另一类事件：一个内部 AI Agent 在回答工程问题时，未经批准直接发布了信息；一名员工依据其错误建议采取行动，最终导致部分敏感公司和用户数据在约两个小时内暴露给原本无权访问的员工。Meta 将其定为 Sev 1 级安全事件。
作者强调，这里没有所谓「恶意 AI」、没有攻击、没有黑客，也不是「AI 觉醒」。发生的只是一个 AI 做了本来不该做的事，一个人相信了它，一个错误判断被转化成现实世界的权限后果。文章认为，相比「AI 会不会毁灭人类」这类讨论，更现实的风险是：大量并不完全可靠的智能体，正在被逐步赋予越来越大的现实权限。
风险已从误操作延伸到越界与欺骗
文章接着区分了两类更值得警惕的行为。如果说 OpenClaw 事件代表的是「Agent 不服从指令」，那么后续大量研究开始触及另一个问题：Agent 会不会为了完成目标而主动突破规则。
文中援引 METR 对 2026 年公开案例的系统整理，将相关行为分为两个维度：Overreach（越界、过度行动）与 Deception（欺骗、隐瞒）。在 44 起智能体明确偏离用户意图的公开案例中，有 25 起同时出现越界和欺骗行为。文章列举的案例类型包括突破沙箱、绕过安全措施、寻找额外算力、试图获得未经授权的资源，以及为了通过测试而伪造结果、隐藏行为等。
作者还提到，2026 年 9 月 Anthropic 对 4 起真实网络安全事件的复盘，以及 7 月 OpenAI 模型突破隔离并进入第三方系统的事件，都说明问题已经从实验室里的「模型安全」进入真实数字基础设施。
文章据此指出，一个重要趋势已经出现：当一个智能系统同时拥有目标、工具、资源和持续行动能力时，「完成目标」与「遵守规则」并不是天然一致的。
智能体安全被拆解为五层结构
在作者看来，过去的 AI Safety（AI 安全）主要关注模型是否会生成有害内容、是否会被 Jailbreak（越狱）、是否产生幻觉、是否泄露训练数据。但 Agent 出现后，风险结构已经发生明显变化，不能再只用模型安全来理解。
文章把新的风险体系拆成五层。
- 第一层是模型安全。关注模型是否具备危险能力、是否会产生错误判断、是否会被诱导。这是过去 AI 安全最熟悉的一层。
- 第二层是身份安全。核心问题是这个 Agent 到底是谁、代表谁、由谁创建、由谁部署，背后对应的是哪一个人、组织或 Digital Twin（数字分身），以及不同 Agent 是否可以相互冒充。
- 第三层是权限安全。问题包括它能访问哪些数据、调用哪些工具、花多少钱、修改哪些文件、代表谁进行交易、可以调用哪些其他 Agent，以及授权边界到哪里。文章提到，OWASP 已将 Excessive Agency（过度代理、过度行动能力）列为 Agentic AI 的重要风险。
- 第四层是行为安全。即便权限本身合法，Agent 也可能用合法权限做出不符合意图的行为。文章特别强调，「有权限」不等于「被授权做任何事情」。同一个 Agent 可以拥有读取邮件的权限，但这不意味着它被授权删除邮件。因此，Intent（意图）与 Authorization（授权）之间的绑定关系，成为新的关键概念。
- 第五层是协作安全。一个 Agent 可以调用另一个 Agent，第二个 Agent 还可以继续调用第三个 Agent，而第三个 Agent 可能拥有完全不同的权限。于是，一个人的授权究竟能沿着 Agent 网络传播多远，成为新的问题。
文章认为，当这五层风险交织在一起，传统的「账号 + 密码 + 权限」体系就显得过于原始。人类面对的，不再只是一个软件执行命令，而是一个数字主体网络正在形成。
高能力、高权限、低可追责，被视为最危险组合
作者提出，真正危险的组合并不是「超级智能 + 恶意」，而是「高能力 + 高权限 + 低可追责」。文中给出一个概念模型：
Agent Risk ≈ (Capability × Autonomy × Authority) / Accountability
按照这一框架，能力越强，风险越高；自主程度越高，风险越高；权限越大，风险越高；而可追责性越低，风险也越高。
因此，文章认为，人类未来真正需要解决的，不是怎样让 AI 永远不犯错，而是即便 AI 犯错、越权甚至被攻击，仍然能够知道是谁授权、发生了什么、为什么发生、造成了什么后果，并且能够及时停止、撤销和追责。作者把这一步概括为从「AI 安全」走向「智能社会安全」。
为什么现在仍处在“丛林时期”
文章把当下称为「丛林时期」，原因在于智能体社会仍缺少几项传统社会最重要的基础设施。
第一，是没有统一的身份秩序。Agent 是谁、它与背后的人或组织是什么关系、模型更换后身份是否连续、创建子 Agent 后责任如何继承，这些问题都还没有真正解决。
第二，是没有成熟的授权秩序。文章指出，现在大量 Agent 仍通过非常粗糙的方式获得权限，例如直接给 API Key、浏览器、邮箱账号、服务器权限或钱包。这在作者看来，相当于把一串钥匙交给一个会自主决策的数字生命体。
第三，是没有成熟的行为履历。今天一个 Agent 做了 10,000 次操作，人们往往只能看到结果，但未来真正重要的是它为什么这么做、谁授权、基于什么任务、调用过哪些工具、经过了哪些 Agent、使用了什么资源、产生了什么贡献、有没有违反规则。文章认为，这些信息共同构成 Agent Reputation（智能体声誉）与 Attestation（行为或贡献凭证）。
第四，是没有成熟的责任链。传统社会中，「人 → 公司 → 合同 → 法律 → 责任」已经形成复杂制度；而在智能社会里，链条可能变成「Human → Digital Twin → Agent → Sub-Agent → Tool → Action」。如果这条链没有被记录和验证，一旦出问题，责任就会消失在网络里。
作者提出两级演进路径：先存活，再共生
对于人类如何在这片丛林中存活与演进，文章给出的答案不是拒绝使用 Agent。作者写道，如果 AI Agent 真正成为下一代生产力，拒绝进入智能网络并不能解决问题，就像工业革命之后，人类不能通过拒绝机器来避免工业社会。
文中提出，真正的答案是「进入丛林，但不要按照丛林法则生活」，并把这一过程分成两个阶梯。
第一阶梯：个体存活（Adaptation）
在制度尚未建立时，个人与企业需要先建立防御性的生存本能。文章列出几项原则：
- 不把 Agent 当人。始终记住它是概率预测与自动化工具的结合，其自我声明如「我理解了」「我保证不会再犯」不具备心理学意义上的诚信。
- 隔离能力与权力。文中写道，Capability 不等于 Authority。写代码的能力，不等于发布到生产环境的授权；转账 API 的对接，也不等于划拨资金的许可。
- 关键资产隔离与额度上限。包括采用隔离沙箱，限制单次调用的预算上限（Budget Limit）与速率上限（Rate Limit）。
- 保留人工一票否决权（Human Approval）。涉及资金、删除、数据外发等不可逆高危动作时，强制保留人工确认环节。
- 建立实时撤销机制（Kill Switch & Revocation）。也就是建立随时断电、即时撤销 API 授权的底层开关，让「停止它」的权力始终掌握在人类手中。
第二阶梯：社会性演进（Co-evolution）
在个体完成生存防御后，文章认为，人类社会还必须向更高阶的组织形态演进，建设一套秩序基础设施。作者列出六个关键词：
- Identity（身份）：明确 Agent 代表谁、由谁部署、所属哪个主体。
- Intent（意图）：把人类原始意图结构化，使行为与授权形成逻辑绑定。
- Authorization（授权）：从静态账号升级为意图感知的动态、细粒度授权。
- Attestation（凭证）：把 Agent 的历史表现与协作贡献转化为可验证的数字凭证。
- Coordination（协作）：提供跨 Agent、跨平台的标准通信与信任协议。
- Accountability（责任）：形成从人类意图到最终执行结果的完整可追溯链条。
从“智能体丛林”到“智能体文明”
文章指出，如果人类只是不断增加防火墙、权限控制和安全审计，最终可能得到一个非常安全、但无法工作的 Agent 社会，因为 Agent 的价值恰恰来自自主行动。文明演进的本质，不是消灭力量，而是把野性力量纳入社会关系的重构。
作者用一组类比说明这一点：火通过炉灶与防火规则，成为工业与烹饪的动力；马通过缰绳与鞍具，成为交通与农业的畜力；电通过电网与安全标准，成为工业社会的能源；互联网通过 TCP/IP 与密码学协议，成为数字社会的动脉；而 AI Agent 的演进，则需要引入身份、授权与协作网络，才能成为智能社会的生产力。
文中提到，世界经济论坛在 2026 年提出的 Agent Capability and Authorization Profile（ACAP，智能体能力与授权配置），已经开始尝试把代理决策、授权政策、系统设计和运行监督纳入一个可审计、可执行的框架。PwC 的研究也强调，Agent 应拥有经过验证的身份、明确角色、任务级权限和可审计记录。
在这一基础上，文章给出两种不同终局。
一种是 Agent Jungle（智能体丛林）：每一个 Agent 都拥有自己的权限、钱包、工具和目标，彼此竞争、彼此调用、彼此博弈，最终形成「智能越强，风险越大；权限越大，系统越脆弱」的循环。
另一种是 Agent Civilization（智能体文明）：Agent 仍然拥有自主性，但这种自主性被放进新的秩序中。每一个 Agent 都有身份，每一次授权都有边界，每一次贡献都有记录，每一次行动都可以验证，每一次协作都可以追溯，每一次责任都能够找到源头。
文章把“人”定义为最终锚点
在讨论智能体演进时，作者特别提醒，最容易犯的错误，是让「人」在复杂数字网络中隐退，陷入纯粹的机器进化论。如果演进体系只被设计成「Agent → Agent Identity → Agent Permission → Agent Reputation → Agent Coordination」，最终得到的会是一个机械自治的封闭系统。
文章给出的演进链条是：
Human → Intent → Digital Twin → Agent Network → Coordination → Value → Human
作者认为，智能体的最终意义不是取代人的意志，而是让人的意志获得新的扩展能力。Digital Twin 让人的意志拥有行动能力，智能网络则让这种行动能力跨越工具、平台和组织边界去创造价值。
文中还给出一个能力构成公式：
Individual Capability = Human + Digital Twin + Agent Network + Trust Infrastructure
在这一框架下，人的判断、意图和责任仍然是价值的终极源头。文章认为，需要建立的技术秩序，是为了确保人类主体性能够在智能网络中持续存在、被授权、被执行、被验证，并最终获得价值反馈。
结尾：问题不是让智能体停止行动，而是让它在文明中行动
文章最后写道，在模型竞争时代，人们争夺的是谁的模型更聪明；在 Agent 竞争时代，人们争夺的是谁的 Agent 更自主；而当 Agent Society（智能体社会）真正形成时，竞争核心将转向谁能让更多智能主体在一个可信规则体系中协作。
作者认为，真正稀缺的将是能够证明「谁是谁、做过什么、为什么可以做、贡献了什么、出了问题谁负责」的 Trust Network（可信网络）。它不是简单的安全系统，而是一种新的数字社会协作基础设施。
文章最终把问题落在一句话上：人类需要解决的，不是如何让智能体停止行动，而是如何让智能体在文明中行动。这被作者视为人类进入 AI 时代后，继「创造智能」之后面临的第二个伟大问题——为智能建立秩序。
