AI Agent也要装插件:企业开始给“数字员工”设白名单

很多公司还在研究该买哪个大模型，一门更靠近钱的新生意已经冒出来：替AI Agent检查它能接哪些插件、调用哪些工具。

9月1日，AI安全创业公司AIR结束隐身状态，宣布两轮种子融资合计5000万美元。它盯上的不是模型回答得准不准，而是Agent背后的技能、插件、MCP服务器和外部工具。

这件事听起来很技术，翻译成职场语言却很简单：公司招来一批“数字员工”之后，突然发现它们也需要应用商店、权限表和持续复查。

过去的聊天机器人只给建议，答错了，人还能停下来判断。现在的Agent开始接数据库、业务系统和互联网工具，可以连续完成一串动作。模型本身只是大脑，插件和技能才是它真正伸出去的手。

问题也从这里开始。

一个工具今天通过检查，不代表下个月还一样。它依赖的软件包可能更新，开发者账号可能变化，外部网页的内容也可能被替换。传统做法是软件上线前审一次，但Agent调用工具的速度和范围，已经把“一次审核”变成了“持续复核”。

AIR的做法，是先找出企业里正在运行的Agent，再拦截和分析它们加载技能、访问外部内容等动作，并用持续更新的白名单判断能不能放行。AIR向TechCrunch表示，目前会过滤掉它在网上发现的大约27%的技能和插件；这个数字来自公司披露，不是独立审计，但资本愿意迅速投下5000万美元，已经说明企业在为这类问题找预算。

我更在意的，不是这家公司最后能不能赢，而是它暴露出的新市场：Agent的竞争，正在从“谁更聪明”转向“谁能被放心地接进真实业务”。

这会直接改变普通人的工作规则。

第一，个人账号偷偷使用AI、部门自己接插件、把公司资料交给未经批准的工具，未来更容易被系统发现。很多人今天觉得这是提高效率，明天它可能被定义为绕过流程。

第二，会写提示词的价值会继续下降，会画清权限边界的人更值钱。谁能说明一个Agent需要读取什么、允许写入什么、哪一步必须由人确认，谁才真正懂业务落地。

第三，AI项目的责任会被重新分配。以前失败可以归咎于“模型能力不够”，以后公司会追问：为什么给了这个插件权限？谁批准的？变更之后有没有重新检查？

对个人和小团队，我建议现在就做四件小事：列出正在用的AI工具和插件；工作账号与个人账号分开；只给完成任务所需的最小权限；付款、删除、对外发送等动作保留人工确认。

别把这理解成“从此不能用插件”。恰恰相反，白名单和复核越成熟，企业才越敢让Agent做更多事。真正拖慢AI落地的，从来不是多一道检查，而是出了问题后没人知道它接过什么、做过什么、该由谁停下。

所以，企业下一笔Agent预算，未必是再买一个更大的模型。它可能先花在一张看不见的清单上：这个“数字员工”能用什么工具，哪些动作必须停下来等人，以及工具变化后谁负责重新验一遍。

模型决定Agent能想到什么，权限和工具决定它最终能做出什么。后者，才是AI真正进入公司之后的门槛。

你工作中接入的AI工具，有没有一份谁都说得清的权限清单？欢迎留言