手机Agent调用第三方App,技术可执行不等于法律可授权

AI治理观察｜智能体调用 · 应用生态 · 权限边界 · 法律责任

2026年11月6日，工业和信息化部发布《关于加强智能体终端设备进网管理的通知》（工信厅信管〔2026〕42号）。

其中一项规定值得特别关注。

通知要求，应用分发平台应推动应用程序开发者通过电子签名主动声明是否同意智能体调用；未经声明同意的，智能体不得强制调用调取应用。

这项规定直接触及手机Agent发展的一个核心问题：

当智能体能够代替用户操作第三方App时，技术上的操作能力，是否意味着其已经取得合法的调用权限？

例如，用户要求手机Agent完成一项出行任务。

智能体可能需要打开地图、查询航班、访问订票平台、读取订单，甚至完成支付。

从技术角度看，这些操作可以通过API、系统接口或者界面自动化等不同方式实现。

但从法律角度看，用户提出任务，并不意味着智能体可以不受限制地调用第三方应用。

同样，应用开发者对调用行为的声明，也不能简单理解为对用户个人信息处理、交易行为和所有后续操作的一揽子授权。

这里涉及一个比“是否取得同意”更深层的问题：

智能体的执行权限究竟从哪里来，又应当受到哪些边界约束？

我认为，本次通知的价值之一，是让智能体调用第三方应用的合法性问题，从抽象的用户授权讨论，进入更加具体的执行行为治理。

01｜用户提出任务，不等于授权所有实现手段

传统手机应用的交互方式相对直接。

用户打开某个App，阅读界面信息，点击相应按钮，完成查询、提交或者支付等操作。

在这一过程中，用户通常直接面对提供服务的应用。

但手机Agent改变了这一结构。

用户不再需要逐个打开应用，而是向智能体提出任务目标。

智能体根据任务需要，选择工具、访问应用并执行操作。

例如，用户说：

“帮我安排明天去上海的行程。”

这句话表达的是一个任务目标。

但它没有明确回答所有执行问题。

智能体是否可以读取用户日历？

是否可以查询通讯录？

是否可以登录购票平台？

是否可以使用已经保存的支付凭据？

是否可以直接购买机票？

是否可以把行程发送给其他联系人？

这些操作虽然可能与出行安排有关，但涉及不同的数据、权限和法律后果。

用户对总体任务的认可，不能自动替代每一项操作所需的合法依据。

这里需要区分两个概念。

任务授权，是用户希望智能体完成什么目标。

执行授权，是智能体能够在什么范围内使用哪些能力、访问哪些资源、实施哪些操作。

二者具有联系，但不能简单等同。

例如，用户要求Agent查询机票价格，并不当然意味着允许其直接付款。

用户要求Agent整理旅行计划，也不当然意味着允许其读取全部聊天记录。

从系统设计角度看，任务目标应当转化为具有明确范围的执行权限。

这不是要求所有操作都必须弹窗征求同意，而是要求系统能够根据操作性质和适用规则，判断已有授权是否足够、是否需要进一步确认，以及哪些行为应当被禁止。

Agent能够理解用户意图，并不意味着它可以自行扩张用户授权的范围。

02｜第三方App不是可以被任意调用的技术资源

手机Agent的执行能力，往往建立在对第三方应用的访问之上。

但第三方App并不是一个没有规则的公共操作界面。

应用开发者可能通过API接口、操作系统能力、登录认证、访问控制和业务规则，决定外部程序可以如何访问其服务。

不同应用还可能涉及用户账户安全、交易确认、数据保护和反欺诈机制。

本次通知第四项工作任务，明确要求应用分发平台推动应用开发者通过电子签名声明是否同意智能体调用。

未经声明同意的，智能体不得强制调用调取应用。

这一规定至少说明，在通知所覆盖的智能体终端和应用分发管理场景下，智能体调用第三方应用不能只依据技术上是否能够实现来判断。

应用开发者的调用声明，已经被纳入相关管理机制。

但需要注意两个边界。

第一，通知要求的是应用分发平台推动开发者作出声明，并对未经声明同意的强制调用作出限制。

不能据此直接推导出所有第三方应用调用都必须采用完全相同的接口授权形式。

第二，通知没有将所有UI自动化、辅助功能调用或者用户直接操作第三方应用的情形逐一作出法律定性。

因此，不能简单宣布所有界面自动化操作都被禁止。

真正需要审查的是具体调用行为是否符合通知要求，以及其他适用法律、技术权限和业务规则。

这里可以提出一个更具有普遍意义的判断：

应用界面可以被技术识别，不意味着其全部功能都可以被第三方智能体无条件调用。

03｜API调用、系统接口与界面自动化，存在不同的权限结构

讨论Agent调用第三方App，不能脱离具体技术实现方式。

从技术架构看，常见方式至少包括三类。

第一类：通过正式API调用

第三方应用提供明确的接口，智能体通过相应认证机制访问服务。

例如，地图服务提供路线查询API。

日历服务提供日程读取接口。

企业系统提供经过授权的业务操作接口。

这种方式通常具有较为清晰的技术边界。

接口可以区分读取和写入权限，设置访问范围、调用频率和身份认证要求。

但拥有API密钥，并不当然意味着所有调用行为均具有充分合法依据。

还需要考虑接口使用规则、用户信息处理依据以及具体操作是否超出授权范围。

第二类：通过操作系统能力调用

手机操作系统可能向应用提供特定能力。

例如，打开指定页面、分享内容、调用系统服务或者访问经过授权的设备资源。

这些能力通常受到操作系统权限模型和相关接口规则约束。

但操作系统允许某项调用，并不意味着调用行为在所有法律关系中都自动合法。

例如，操作系统允许应用访问某类信息，仍然需要判断该信息处理是否具有合法依据，以及是否符合必要性要求。

第三类：通过界面自动化执行

智能体通过识别屏幕内容、模拟点击、输入文本等方式操作第三方应用。

这类方式具有较强的通用性。

即使第三方应用没有提供专门API，智能体也可能通过界面完成部分任务。

但它同样带来新的治理难题。

智能体可能难以准确识别界面变化。

可能误触高风险按钮。

可能在用户不知情的情况下执行连续操作。

也可能遇到第三方应用的安全校验、反自动化机制或者调用限制。

需要强调，界面自动化是一种技术实现方式，本身并不直接决定行为的合法或违法性质。

但如果智能体利用这种能力规避明确的访问控制、突破适用的调用限制，或者实施未经授权的数据获取和业务操作，就可能产生相应法律风险。

因此，真正需要治理的不是某一种技术名称，而是具体操作的授权依据、访问边界和实际后果。

04｜用户授权、应用调用规则与系统权限，不是同一种法律关系

这是理解本次通知最重要的一个区分。

在Agent执行任务过程中，可能同时存在多个层面的授权与约束。

首先是用户与智能体服务提供者之间的关系。

用户使用智能体服务，可能通过服务协议、功能设置或者具体指令，决定智能体可以完成哪些任务。

其次是智能体与第三方应用之间的调用关系。

第三方应用可能通过接口协议、调用声明、认证机制或者其他规则，确定是否接受相关调用。

再次是智能体与操作系统之间的技术权限关系。

操作系统可能决定某个应用能否访问设备资源、调用系统能力或者执行特定操作。

此外，如果智能体涉及个人信息处理，还需要依据《个人信息保护法》判断处理活动的合法性。

《个人信息保护法》第十三条规定了处理个人信息的不同合法性基础，并非所有处理活动都一律以个人同意作为唯一依据。

第六条要求个人信息处理具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式。

涉及敏感个人信息时，还需要考虑第二十八条、第二十九条等特别规定。

因此，不能把所有问题简单归结为“取得一次用户同意”。

例如：

用户同意Agent查询某项信息，不当然意味着第三方应用必须开放所有接口。

第三方应用允许Agent调用某项功能，不当然意味着Agent可以处理与任务无关的个人信息。

操作系统授予某项设备权限，也不当然意味着智能体可以将该权限用于任何业务目的。

这几种机制可能同时影响一项操作，但它们解决的是不同问题。

法律上的授权，不是一个可以在用户、智能体、操作系统和第三方应用之间无限传递的通用凭证。

05｜技术可执行与法律可授权之间，存在四个判断层次

我认为，判断智能体调用第三方App是否具有充分依据，可以建立一套四层分析框架。

这套框架不是通知规定的法定审查程序，而是针对Agent执行行为提出的技术与法律分析方法。

第一层：任务是否具有正当来源

首先需要判断智能体为什么执行这项操作。

是用户明确提出的任务？

是用户此前设置的自动化规则？

还是智能体根据环境信息自行生成的后续行动？

如果任务来源不清晰，后续执行行为就可能缺少可靠的授权基础。

例如，用户要求Agent整理订单信息。

智能体却自行决定取消其中一笔订单。

即使取消操作在技术上能够完成，也需要进一步判断其是否超出了原有任务范围。

第二层：调用是否具有适用依据

智能体选择第三方App后，需要判断该调用方式是否符合相关管理要求。

包括通知所涉及的应用开发者声明机制、适用的接口规则、系统权限及其他法律要求。

这一步解决的是：

智能体是否可以通过当前方式调用这个应用或能力。

第三层：具体操作是否超出权限范围

即使允许调用某个应用，也不意味着允许执行其中所有操作。

例如，允许查询订单，不意味着允许修改订单。

允许读取文件，不意味着允许删除文件。

允许生成付款建议，不意味着允许直接完成支付。

因此，权限应当进一步细化到资源、操作类型和必要的业务条件。

第四层：执行过程是否具有必要约束

某项操作具有合法依据，也不意味着可以完全忽视执行风险。

例如，智能体准备向外部账户转账。

即使相关账户访问已经获得授权，仍然可能需要金额限制、收款人核验、异常交易识别或者必要的人工确认。

这类控制措施的具体设置，需要依据操作风险、适用法律及业务场景确定。

四个层次共同构成一个重要原则：

合法执行不是一次授权判断，而是任务、调用、权限与执行过程之间的持续一致性。

06｜应用开发者的调用声明，不等于取得对用户的全面控制权

本次通知要求应用开发者声明是否同意智能体调用。

这项机制可能对手机应用生态产生实际影响。

因为智能体的发展，正在改变用户访问应用的方式。

过去，用户直接进入第三方App完成任务。

未来，用户可能通过统一的Agent入口，调用多个应用提供的能力。

在这种模式下，第三方应用既是独立服务提供者，也是智能体执行任务时可能依赖的外部能力。

因此，应用开发者对于外部调用方式具有现实的安全和经营管理需求。

但这并不意味着应用开发者可以不受其他法律约束地决定用户如何使用所有相关数据和服务。

例如，涉及个人信息处理时，仍需遵守《个人信息保护法》。

涉及市场竞争时，相关行为还可能受到反不正当竞争等法律规则约束。

涉及消费者权益时，也需要考虑用户知情权、选择权以及相关合同关系。

因此，应用调用声明应当放在完整法律关系中理解。

它是本次通知明确设置的应用调用管理环节。

但它不是对第三方应用所有利益诉求的当然认可，也不能替代对其他法律问题的独立判断。

同样，用户希望通过Agent完成任务，也不意味着第三方应用原有的合法安全措施可以被任意绕过。

智能体调用权的边界，不能只由某一个参与主体的技术能力或者商业利益单独决定。

07｜真正需要控制的是执行权，而不是只控制模型输出

如果把手机Agent看作一个技术系统，其核心结构通常包括：

模型推理。

任务规划。

工具选择。

权限校验。

实际执行。

结果反馈。

其中，模型推理和任务规划主要决定系统准备做什么。

工具调用与实际执行，则决定系统是否会改变外部环境。

两者之间应当存在必要的控制边界。

例如，用户要求Agent清理手机存储空间。

模型可能判断某些文件不再需要。

但是否允许删除这些文件，不应完全由模型自行决定。

系统可以要求Agent先列出拟删除对象。

根据文件类型和重要程度进行风险判断。

对重要文件要求用户确认。

或者直接限制智能体删除某些受保护资源。

这些机制的价值在于：

即使模型产生错误判断，也不必然导致高风险操作被执行。

这也是我认为Agent治理需要从模型约束转向执行控制的重要原因。

提示词可以告诉模型应当遵守什么规则。

但提示词本身不应被视为完整的权限控制机制。

尤其当Agent能够访问支付接口、数据库、邮件系统或者企业管理后台时，更需要独立于模型推理结果的技术控制。

模型可以提出执行方案，但最终是否允许执行，应当由符合业务规则和安全策略的控制机制决定。

08｜智能体越权，不一定表现为突破系统权限

传统信息安全中，越权通常与未经授权访问系统资源有关。

例如，普通用户访问管理员接口。

未授权人员读取数据库。

或者攻击者利用漏洞获得更高权限。

但Agent环境中还存在一种值得重视的风险：

智能体可能在技术权限范围内，执行超出具体任务授权的操作。

例如，某个Agent拥有读取邮件和发送邮件的权限。

用户要求它整理客户邮件。

智能体却将部分邮件内容发送给了外部地址。

从技术上看，它可能没有突破操作系统或者邮件服务授予的权限。

但从任务授权角度看，相关发送行为可能明显超出用户预期。

又如，某个Agent具有修改客户资料的业务权限。

用户要求它核对客户联系方式。

智能体却批量覆盖了客户原有信息。

这种情况也不一定涉及传统意义上的权限提升。

但可能涉及任务范围失控、执行策略缺失或者错误的自动化操作。

因此，Agent治理不能只检查某个账户有没有权限。

还需要判断：

当前操作是否属于被授权的任务。

操作对象是否符合任务范围。

执行结果是否超出必要程度。

是否触发需要额外控制的高风险行为。

这可以称为任务级执行边界。

它与传统基于角色的访问控制并不冲突，而是在其基础上进一步约束智能体的实际行为。

需要注意，“任务级执行边界”是本文提出的技术治理概念，不是本次通知已经定义的专门法律术语。

09｜当Agent调用第三方App发生错误，责任不能简单归于模型

智能体执行任务可能涉及多个主体。

用户提出任务。

智能体开发者提供推理与执行系统。

终端生产企业提供设备和系统环境。

第三方应用开发者提供业务服务。

应用分发平台承担相关分发管理职责。

如果执行过程中发生损害，需要根据具体法律关系和事实确定责任。

例如，智能体错误取消订单。

需要分析用户是否授权取消、智能体是否错误理解任务、执行控制是否存在缺陷，以及第三方应用是否按照有效请求完成操作。

如果智能体未经适当依据处理个人信息，需要进一步判断相关主体在个人信息处理活动中的实际角色和法定义务。

如果智能体通过不符合适用规则的方式强制调用第三方应用，则需要结合通知要求、具体调用行为和其他法律规定分析。

这些责任问题不能直接以“AI自己作出的决定”作为解释终点。

现行法律并未因为Agent具有自主规划和执行能力，就当然赋予其独立承担民事或刑事责任的法律主体资格。

责任分析仍然需要回到相关自然人、法人或者其他组织的行为和义务。

但也不能反过来认为，只要系统执行了用户指令，智能体开发者或其他参与主体就必然没有责任。

因为用户指令与实际执行结果之间，可能还存在模型判断、工具选择、权限配置和系统控制等多个环节。

因此，未来Agent责任认定的重要基础，是能够还原完整执行过程。

包括任务来源。

智能体身份与版本。

工具调用记录。

实际执行参数。

权限校验结果。

以及外部系统返回的信息。

这些记录不是自动决定责任归属的证据，但可以帮助查明不同主体的行为与相关事实。

10｜从手机Agent延伸到企业Agent，调用治理将成为基础设施

本次通知的直接适用对象，是预置智能体的相关电信终端设备及其管理环节。

不能将其全部要求直接扩张到所有企业Agent。

但其中关于身份、权限调用、任务执行和适配管理的思路，对企业Agent架构具有明显参考价值。

例如，企业部署一个采购Agent。

用户要求它寻找符合条件的供应商。

智能体可能调用企业采购系统、供应商数据库、合同管理平台和邮件服务。

如果没有明确的执行边界，智能体可能从信息查询进一步进入供应商修改、合同提交或者采购审批等操作。

因此，企业需要的不仅是模型接入平台。

还需要管理Agent能够使用哪些工具、调用哪些资源，以及在什么条件下执行特定操作。

我建议企业Agent平台逐步建设四类基础能力。

第一，工具调用登记与管理。

明确每个Agent能够使用的工具、工具提供者、访问方式和相关调用规则。

第二，任务与权限关联。

将用户任务、Agent身份、工具权限和具体操作范围建立必要联系。

第三，独立执行控制。

对于敏感数据修改、外部发送、支付和权限变更等高风险操作，设置适当的校验、限制或审批机制。

第四，行为记录与责任追溯。

记录关键任务来源、工具调用、执行结果和必要的版本信息，为故障排查、安全审计和法律争议提供基础材料。

这些能力可以适用于不同技术架构。

无论企业采用传统API调用、工作流编排，还是基于MCP等协议连接外部工具，都需要考虑相应的身份和权限问题。

但MCP协议本身并不能替代完整的法律授权和业务执行控制。

协议解决的是系统如何交换能力和信息。

合法执行还需要考虑调用依据、权限范围、数据处理和具体行为后果。

11｜我的判断：Agent需要建立独立于模型的合法执行边界

回到工信部此次通知。

应用开发者声明是否同意智能体调用，只是其中一个具体管理要求。

如果仅将其理解为增加了一项授权手续，就容易忽略智能体治理的更深层问题。

Agent与普通软件的重要区别，在于它能够根据任务动态选择执行路径。

用户未必事先知道它将调用哪些工具。

第三方应用未必能够直接了解用户的完整任务意图。

操作系统也未必能够仅根据设备权限判断某项业务操作是否适当。

这使得传统的用户授权、应用权限和接口认证机制，在Agent场景下需要进一步协调。

我认为，未来成熟的Agent执行体系，需要明确区分三种能力：

模型决策能力。

决定系统建议采取什么行动。

工具访问能力。

决定系统在技术上能够调用哪些外部能力。

合法执行能力。

决定某项具体行动是否具备适用依据、符合权限范围，并能够在必要约束下实际执行。

三者并不相同。

模型能够生成调用计划，不代表系统拥有工具权限。

系统拥有工具权限，也不代表所有操作都符合用户任务和适用法律。

因此，Agent治理需要建立独立于模型的执行边界。

这一边界既包含技术权限，也包含业务规则和法律要求。

它应当能够在具体操作发生前，判断操作是否被允许；在操作过程中，实施必要约束；在操作完成后，提供适当的审计记录。

这套机制并非本次通知直接规定的统一技术方案，而是结合智能体执行特征提出的架构判断。

其最终目标，是让智能体能够在合法、可控、可追溯的条件下使用外部系统能力。

结语｜真正的边界不在屏幕上，而在执行权上

手机Agent的发展，正在改变人与应用之间的交互方式。

用户不再需要亲自完成每一步操作。

智能体可以根据任务目标，调用不同应用并连续执行。

但技术能力的增强，并不会自动消除原有的法律边界。

用户的任务指令，不等于对所有操作的无限授权。

第三方应用的技术接口，不等于可以不受限制地使用。

操作系统授予的访问权限，也不等于相关行为已经满足全部法律要求。

工信部此次通知对智能体调用第三方应用提出管理要求，体现了执行行为治理的重要性。

从更长远的角度看，Agent治理需要回答的，不仅是谁有权调用应用。

更重要的是：

谁可以发起任务。

智能体能够调用哪些能力。

哪些操作可以自动执行。

哪些行为必须受到额外约束。

发生错误后又如何还原事实、判断责任。

AI Agent的竞争正在从模型能够完成什么任务，延伸到系统能够在什么边界内可靠地完成任务。

技术可执行，是能力问题。

法律可授权，是权利与义务问题。

执行可控制，则是将两者连接起来的系统治理问题。

未来真正可信的智能体，不是能够操作一切应用的智能体，而是能够在明确边界内正确执行任务的智能体。