這幾天 AI agent 的討論很有意思。一邊是企業開始認真談 agentic AI 的基礎設施改造，另一邊是 coding agent 的安全漏洞與權限風險被放大檢視。表面看是兩種新聞：一個談導入，一個談資安。但放在一起看，其實是同一件事：agent 的瓶頸正在從「能不能做」轉成「憑什麼讓它做」。

很多人對 AI agent 的錯誤理解，是把它當成更聰明的聊天機器人或更快的自動化腳本。這會低估它帶來的變化。聊天機器人通常只是回答；腳本通常只照固定規則跑。agent 介於兩者之間：它會讀上下文、判斷下一步、呼叫工具、修改資料，甚至執行命令。能力變強以後，最重要的產品問題反而不是模型，而是授權介面。

誰該在意？第一是導入 coding agent 的工程團隊。你不該只問 Claude Code、Codex、Cursor、OpenCode 哪個比較會寫，而要問它們在你的 repo 裡最多能碰到什麼：只能讀檔？能改檔？能跑 shell？能連網？能碰 secrets？這些答案比 benchmark 更接近真實風險。

第二是做企業 agent 的產品與平台團隊。企業客戶嘴上問的是效率，心裡怕的是失控。真正可採用的 agent 產品，應該把「讀取、建議、修改、執行、外部送出」拆成不同層級，讓使用者看得懂、能批准、能撤回，也能事後查得出來。

比較危險的採用方式，是用一句「human in the loop」安慰自己。很多流程名義上有人類把關，實際上介面只給一個同意按鈕，沒有清楚 diff、沒有風險標示、沒有回滾路徑。這不是審批，只是把責任甩給最後點按鈕的人。

較穩健的判斷建議很簡單：先選一條低風險、高頻率、可驗收的流程，然後把權限拆細。陌生輸入預設唯讀；改檔要看 diff；執行命令要分安全等級；網路、憑證、部署、刪除資料一律升級審批；所有操作要留下紀錄。若一個 agent 工具無法讓你設定這些邊界，它可以拿來 demo，不適合直接變成核心流程。

結論是，AI agent 的下一輪競爭不會只比誰更像全能員工，而會比誰更會被組織信任。模型能力當然重要，但權限、稽核、回滾、成本可見性，才是 agent 從玩具進入工作流的門票。看懂這點的團隊，會先設計邊界再擴大自動化；看不懂的團隊，會在第一個漂亮 demo 後，撞上第一個昂貴事故。