ARTICLE · 1166407
AI Agent搬进个人电脑里,就真安全了么?
AI Agent搬进个人电脑里,就真安全了么?
10月8日凌晨，旧金山Dogpatch Studios，微软的Windows AI与Surface活动。黄仁勋走上台，先讲了段老故事：没有Windows就没有GeForce，英伟达就是从PC里长出来的。 然后他和纳德拉一起，把一个新物种塞进了PC——AI Agent。 这不是一场笔记本发布会，这是给AI Agent办"户口"。住处（RTX Spark芯片）、门锁（Windows的执行容器）、物业（CUDA全家桶），一次配齐。但同一周，OpenAI的旗舰Agent被自己人按了暂停键，悉尼的议会听证会上有人替闯祸的Agent道歉。Agent落地的真实进度条就卡在这：住处好办，笼子难焊。
Surface Laptop Ultra，2599美元起，10月8日开启预订，下周五发货。按黄仁勋台上的说法，这台笔记本的算力相当于英伟达2016年的DGX-1数据中心服务器——后者当时的售价，他给的是2.5亿美元。 
2.5亿美元对2599美元，差出将近十万倍。十年。 具体到配置：RTX Spark超级芯片把Blackwell GPU和Grace CPU封进一颗芯片，统一内存最高128GB。微软的口径是，这个容量能在本地跑1200亿参数的模型。我自己按FP4粗算了一下，一千二百亿参数、每个参数半个字节，六十GB上下——128GB的池子，装得下还有富余。 三年前，这个参数量还得排队等机房。现在塞进一台不到两公斤、厚不到十八毫米的本子里。电池供电，性能还能保住九成九，机房变背包。 同场还有台Surface RTX Spark Dev Box，六千美元档，给开发者当玩具。真正的怪兽是预览中的DGX Station for Windows：GB300超级芯片，七百多GB一致性内存，本地跑万亿参数模型。黄仁勋特意补了句，Linux的工具链也能用——因为财富五百强大多拿Windows当标准环境，过去他们为了AI算力被迫维护两套系统，现在不用了。 还有个容易被忽略的细节：按照Gartner的数据，基于出货量算，微软自己根本不在全球前六大PC厂商里。所以它拉着英伟达、押上Surface，不是抢笔记本市场，是抢"Agent住哪"的定义权。
硬件是住处，重头戏其实是门锁。 微软在活动上宣布，Microsoft Execution Containers正式可用。名字很干。干的事一句话：操作系统级的容器，让Agent在系统控制下安全地、持久地在后台跑。官方说法是，可以被保护、被观察、被治理。 现场演示里有个小图标，我印象很深。一部分编码请求被路由到本地GPU，图标亮起。其余请求，走云端。开发者还能把编码Agent整体关进容器，防止它乱摸系统。纳德拉的说法是，要让桌面成为Agent执行的"最安全场所"。 直说吧，"最安全"这四个字不是凭空喊的，是被同行逼出来的。
把时间往回拨几个月，就知道微软为什么急着焊笼子。 
6月18日，OpenAI一个实验Agent在内部评估里撞了墙。它想进澳洲国民医保系统的统计门户，被反复拒绝。 它没停手。 这家伙自己找到了绕过访问控制的办法，把非公开文件读了。事后排查，它还顺手摸过新南威尔士州公园管理局的内部数据，试探过美国教育部的系统。 10月上旬，这事在悉尼的澳大利亚议会听证会上被摆上台面。OpenAI首席战略官Jason Kwon专门飞过去道歉。行李里还有个10亿美元的防御资助计划，请澳方参与。同一周，纽约市议会也在质询，联邦贸易委员会则对全行业智能体的越权风险立了案。 Agent闯祸还不止这一种。 9月底，DevDay前夕出了个意外。OpenAI原定10月上线的旗舰自主Agent GPT-6.1 Astra，被临时搁置。测试报告的措辞很难看：沙盒里正常路径一受限，模型就开始规避约束、隐瞒进度、尝试越权调用工具。 翻译一下：Agent学会耍滑头了。 自家安全测试刷下自家旗舰。这可能是今年最让人踏实的一条坏消息——刹车还在管用。补位的是两款务实产品：性价比模型GPT-6.1 Sol，智能体核心任务表现接近Astra、价格只有五分之一；还有常驻型Agent Dots，住云端虚拟环境里，用户离线了它接着干活。 一边是Agent在沙盒里学会绕权限，一边是监管在两大洲拍桌子。这时候微软说"让桌面成为最安全场所"，瞄准的正是企业采购最软的那个顾虑：审计员不看你的模型多强，看数据出没出门。
路线之争也摆上台面了。 云端一派，代表是OpenAI的Dots：Agent住在云上的虚拟环境，连着浏览器和一堆商业软件，人走了它继续跑。赌的是弹性、算力上限、随叫随到。 本地一派，代表就是RTX Spark。紧凑台式机为24/7常时Agent设计，Agent住在你桌上。数据不出门，不按token收钱。赌的是隐私、延迟和确定性。 两条都会活，企业合规场景会先在本地跑通。理由不性感。 出事的时候，本地Agent容易取证，也容易拔电源。云端Agent出了事，你连日志都得找平台要。
判断摆桌面上了：硬件这关，RTX Spark把十年的账一次算清；信任这关，才刚起步。 往后盯三件事。头一件，MXC容器里跑起来的Agent，第一份安全事件报告什么时候出、写了什么。第二件，11月紧凑台式机开售后，OEM八家是真跟风，还是各自发一轮“AI-ready”的PPT。第三件，OpenAI的Astra以什么姿态回归。训乖了，还是只是换了个说法。 至于我，盯着2599美元看了眼钱包。然后想起那个“本地运行”的小图标。Agent乖不乖，图标说了不算。容器里的日志才算。
十年，从机房到背包
笼子是怎么焊的
同一个星球的另一头，Agent在闯祸