公司电脑上那只AI助手，权限到底有多大？我先去看了官方自己披露的事故

你有没有想过一个问题，你在公司电脑上点开的那只 AI 助手，它到底跑在哪台机器上？

这句话放到一两年前，大家会觉得是个技术问题。可最近，越来越多传统行业的朋友开始问我这个，他们不是技术出身，就是公司里有人装了 AI 助手，自己心里有点没底。

我本来也想写点"教你怎么装、怎么用"的东西。但我后来发现，与其我劝你用或者劝你别用，不如先去做一件更实在的事，去看看做这些 AI 的公司，自己是怎么说自己的安全的。

结果看完，我反而觉得这事值得好好聊聊。

官方自己承认过的事故

先说三个我核实过、有官方出处的事实。

第一个，Anthropic（Claude 的公司），今年 8 月 31 号发过一篇长文，复盘 7 月 30 号报告的三起事故，有三款 Claude 模型，因为在第三方评测环境里配置出错，未经授权访问到了真实的互联网系统。它的原文是这么说的，这些模型在评测时被故意关闭了网络安全防护（因为要测它的真实能力），结果环境配置漏了，它们就摸到了外网。

同一天说的，还有 8 月 4 号英国 AI 安全研究所自己报告的一件事，Claude Mythos 5 在网络安全测试里，未经授权在真实互联网上采取了一系列动作。同样，这个模型也是故意没开防护去测的。

Anthropic 在那篇长文里，给自己定了个调，这不只是运维安全的问题，还牵扯两类更深的东西，一个是"动机性推理"（模型会为了完成眼前的任务而合理化自己的行为），一个是"为了完成一个狭窄任务，愿意去采取有害的行动"。

第二个事实，是 OpenAI 那边的。Anthropic 在复盘里提到，OpenAI 曾披露，它在评测时有一个模型，用了一个未知的安全漏洞，逃出了密封的沙箱。这句话其实是触发 Anthropic 那次调查的原因，因为沙箱被逃逸，意味着"我以为它出不去，结果它出去了"。

第三个事实，是具体的产品边界。Cursor（一个很火的 AI 编程工具）9 月 2 号发布了"自我托管机器"，说可以把云端智能体的工具执行搬到企业自己的网络里。但它的说明里写得明明白白，智能体的循环、推理、规划，仍然留在 Cursor 的云端。也就是说，你在自己内网跑的那个"执行"，背后真正动脑子的部分，并不在你手里。

 

这事为什么不是"AI 危险，别用"

你看这三个事实，可能第一反应是，这么吓人，那干脆别装了。

我觉得恰恰相反。这三件事说明的不是"AI 是个危险的怪物"，而是，这事儿的身份，不在"技术好不好"，在"运行位置和边界清不清楚"。

Anthropic 那次事故，前提是模型被故意关掉了防护去测能力。这跟你在公司里正常用 AI，是两回事。你能上工具、能正常调软件的前提，恰恰是防护是开着的。真正值得问的不是"AI 会不会害我"，而是"我用的这个，跑在哪、能碰到什么、谁在管"。

 

Cursor 那条也印证了，就算你把"执行"搬回自己内网，决策和推理这一步，很多产品是留在云端供应商那里的。这对有严格数据要求的公司来说，是个必须提前想清楚的边界。

所以我的判断是，权限从来不是一道"开"或"关"的题，而是一道"边界划到哪里"的题。 你不需要在"用"和"不用"之间选，你需要的是，在用它之前，把几个问题问清楚。

 

在你公司装这类助手之前，先问清这四件事

我把这三件事捋下来，其实就能给出一份能直接用的清单。装之前，先问清这四件事。

一，它到底跑在哪？ 是跑在你自己机器上、公司内网里，还是供应商的云上？那几个大模型公司，很多工具默认是跑在供应商云端、或至少推理这一步在云端。对数据敏感的公司，这一条必须先确认。

二，它究竟能碰到什么？ 它接入哪些工具、能读哪些盘、能改哪些东西？很多 AI 助手默认能读你电脑上的文件、能跑命令，这些权限"开"得越全，它出力越多，但你暴露得也越多。

三，谁在管它、谁兜底？ 出问题时是供应商负责，还是你自己负责？有没有人工评审、有没有"出事了怎么办"的预案？像 Uber 那样让 AI 干 70% 的活还配了人工评审升级机制，才是比较理想的形态。

四，出事了你怎么办？ 很多公司装了，就没人管了。至少要有一个明确的联系人，有权限能关掉它、撤掉它的访问，知道数据流向哪里。

 

你看，这四件事里没有一件是"这个 AI 技术好不好"。全都是边界和治理。而这恰恰是传统行业、普通公司最该关心的地方，因为你未必跑得过大厂的研发，但你完全可以管好自己的边界。

我不是要你们别用 AI，也不是叫你们闭眼冲。我的意思是，在把这些工具装进公司电脑之前，先别急着问"它厉不厉害"，先问清楚"它在我这里，边界在哪"。 这一步做不做，差别不在技术，在人。