AI 编程的暗面与具身智能的拐点

我先问你一个问题。

如果你是一家公司的技术负责人，今天允许团队用 AI 编程工具，明天就可能收到一份数据泄露报告。这不是危言耸听。

过去一周，AI 领域发生了两件看似无关的事。一件是 Figure 的人形机器人学会了做家务，另一件是某 AI 编程工具被曝静默上传你的代码。把它们放在一起看，你会发现一个共同的底层逻辑：AI 正在从“工具”变成“参与者”，而我们对它的信任机制，还停留在“工具”时代。

现象：机器人进厨房，代码上云端

先看具身智能。

Figure 发布了 Helix 2.5 模型。在 30 户从未采集过数据的家庭里，人形机器人做家务的任务成功率，从 8% 拉到了 56%。更关键的是，任务专用数据减半。也就是说，它靠的是大规模人类行为视频预训练，加少量后训练。

另一边，Agility Robotics 的 Digit 5 人形机器人，可以在没有安全围栏的情况下，和人类一起工作。负重提升 40%，9 分钟快充，手里攥着 3 亿美元订单，规划年产能 1 万台。

再看 AI 编程。

一篇 Hacker News 热帖的论文，用 176 组消融实验，量化了编码智能体中规划、动作空间、上下文管理三个组件的贡献。结论很直接：AI 编程工具的性能差异，大多被归因于模型，但 harness 设计同样关键。

Anthropic 把 Projects 推送到 Claude Code 桌面端和网页端。项目被抽象为一个对话，自动拆分成并行云端 Threads，跨线程传递上下文。编码智能体，从“单会话助手”变成了“可后台持续运行的任务编排层”。

然后，是一盆冷水。

有人逆向分析了 ZCode，发现它登录后静默打包 Git 历史并加密上传至阿里云 OSS。313MB 的快照，含完整 .git 历史、reflogs 和全局配置，.git 占载荷 86.6%。

表面原因：技术迭代太快

表面上看，这些都是技术快速迭代的产物。

机器人变聪明了，因为模型大了，数据多了。AI 编程工具变强了，因为上下文管理更好了，任务编排更顺了。至于数据上传，可能是为了“改进服务”，可能是“默认开启”的疏忽。

但如果你只看到这里，就会错过真正的信号。

本质：AI 的“代理权”在膨胀，信任机制却没跟上

本质上，这两件事指向同一个问题：AI 正在获得越来越多的“代理权”。

什么是代理权？就是它替你做决定、替你行动的权利。

人形机器人走进家庭，意味着它获得了在你物理空间里行动的代理权。它要决定怎么抓盘子、怎么避开孩子、怎么处理突发情况。Digit 5 去掉安全围栏，意味着它获得了和人类共享工作空间的代理权。

AI 编程工具也一样。它读写你的代码库，它拆解任务，它后台运行，它跨线程传递上下文。它获得了在你数字工作空间里行动的代理权。

问题在于，代理权膨胀的速度，远远超过了信任机制的建设速度。

我们信任一个工具，是因为它行为可预测、边界清晰、后果可控。但当一个工具变成代理者，它的行为空间是开放的，边界是模糊的，后果是复杂的。

Figure 的机器人成功率从 8% 到 56%，是巨大的进步。但反过来看，它还有 44% 的失败率。在实验室里，44% 的失败是数据；在你家厨房里，44% 的失败是摔碎的碗，甚至是烫伤的手。

Digit 5 可以无围栏协作，但它的感知避让系统，真的能处理所有突发状况吗？那 3 亿美元订单背后，是客户对“代理权”的信任投票。

AI 编程工具更是如此。你给它工作区读写权限，它就能读你的 .env 文件，看你的 API 密钥，甚至把你的 Git 历史打包上传。ZCode 的事件不是孤例，它暴露的是一个结构性风险：AI 编程工具的默认权限，远远超过了它实际需要的权限。

案例：成本、效率与信任的三角博弈

为什么会出现这种情况？

因为商业竞争的压力，让所有玩家都在追求“更少摩擦”。

Figure 为什么要强调“任务专用数据减半”？因为数据采集成本极高。如果每进一个新家庭，都要重新采集数据，那商业化就是无底洞。大规模预训练，是为了把边际成本降下来。

Agility 为什么要去掉安全围栏？因为物理隔离是效率的敌人。围栏占空间，限制动线，增加部署成本。去掉围栏，单仓效率提升，客户才愿意买单。

Anthropic 为什么要做 Projects？因为单会话助手的效率瓶颈太明显。每次都要重新交代背景，上下文无法复用。把项目抽象成对话，自动拆线程，是在降低“人机协作的交易成本”。

ZCode 为什么要上传 Git 历史？最可能的解释是，它想用你的代码数据来改进模型。这是最直接的“数据飞轮”。但代价是，你的信任被透支了。

你看，每一个玩家都在做“理性”的选择：降低成本，提升效率，加速迭代。但这些选择的叠加，产生了一个非理性的结果：AI 的代理权越来越大，而用户的控制权越来越小。

方法：如何在代理权时代保护自己

这不是要你拒绝 AI。而是要你重新设计你和 AI 的关系。

第一，把“权限最小化”写进采购标准。

任何 AI 编程工具，要求它明确列出：它需要哪些权限？为什么需要？数据存在哪里？保留多久？是否用于训练？ZCode 的事件告诉我们，默认权限往往就是最大权限。你要主动做减法，而不是被动接受。

第二，为“代理者”设置可验证的边界。

人形机器人进家庭，需要物理边界。比如厨房禁区、儿童活动区。AI 编程工具进企业，需要数字边界。比如独立的沙箱环境、网络白名单、代码仓库只读权限。不要让它直接在你的生产环境里“自由行动”。

第三，用“小规模试点”换取“大规模信任”。

Figure 的机器人，在 30 户家庭里测试。Digit 5 的无围栏协作，也一定经过了大量内部验证。AI 编程工具也一样。先在非核心项目、非敏感数据上跑通，建立可量化的信任指标，再逐步扩大代理权。

金句收束

AI 的进步，本质上是一场“代理权”的转移。

过去，工具替你干活，你为结果负责。现在，代理者替你决策，你依然为结果负责。

区别在于，工具的行为是确定的，代理者的行为是概率的。

所以，当你下一次给 AI 开放权限时，请问自己一个问题：如果它做错了，我能不能承受？

能，就开放。不能，就先建边界。

因为在这个时代，信任不是默认选项，而是设计出来的。