这份报告我前后读了三遍。第一遍是当新闻扫看到“MIT等顶尖学府”“30款AI智能体”“自主性五级”这些字眼第一反应是又一个学术圈的排名榜单第二遍是当行业情报看开始认真对比里面关于智能体能力边界的描述第三遍才真正读出味道来尤其是那个被放在标题末尾、看起来像是“顺带一提”的数据——安全信息缺失近200项。先说结论这份《2025年AI智能体指数报告》跟我平时刷到的各种“XX榜单”完全不是一回事。它做的不是给30款智能体打分排名而是像解剖课一样把每一款智能体的自主性表现、任务完成能力、安全信息披露情况拆开来看并且首次提出了一套可操作的“自主性五级”划分框架。不管你是做智能体开发的工程师、正在规划AI产品方向的产品经理还是刚接触工作流搭建、想搞清楚AI智能体到底能替自己干多少活的学习者这份报告的框架都值得当成一份“行业标准草案”来研究。先说一个最容易让人误解的地方很多人一看到“AI智能体”“自主性”“AGI取代工作”这几个词连在一起要么过度兴奋要么过度恐慌。报告给出的五级划分恰好是给这种情绪化的讨论泼了一盆冷水——它把“自主性”从模糊的概念变成了可以逐级对号入座的刻度。另一方面安全信息缺失近200项这件事又是在提醒所有正在追赶智能体浪潮的人能力跑得越快安全欠账欠得越多。下面我按报告的主线把里面的核心框架、技术路径、安全问题和实操启示挨个拆开讲。1. 这份报告为什么值得每个做AI的人认真读一遍1.1 报告到底做了什么先说清楚这份报告的“解剖”二字是怎么个解剖法。它不是简单地把30款AI智能体列出来然后各给一个分数而是建立了一套统一的评测维度从三个层面去切开每款智能体。第一层是能力边界测试也就是让智能体去完成不同类型的任务看它在不需要人类干预的情况下能走多远。比如你丢给它一个“调研某个行业近三年的融资情况并输出报告”这样的任务它是只能给你列出一堆搜索关键词还是能自己完成搜索、筛选、汇总、排版的全流程。第二层是自主性评估这是报告最大的创新点它把智能体在任务中的决策权、行动权和自我纠错能力划分成了五级我后面会详细展开。第三层是安全信息披露报告整理了一份常见的安全措施清单比如数据隐私保护、权限管理、提示注入防护、输出内容审核、日志审计等等然后看每一款智能体到底披露了多少项、实际做到了多少项。这三层评测放在一起其实回答了一个很多团队都想知道但又一直没人系统回答的问题AI智能体现在到底处在什么发展阶段哪些是宣传话术哪些是真实能力哪些又是被刻意忽略的隐患。1.2 一个被低估的核心结论报告最有价值的地方我认为不是那套五级划分本身而是它揭示的一个尴尬现状能力分层和安全保障严重不匹配。30款智能体里很多在自主性测试中表现相当亮眼已经能做到多步骤规划、调用外部工具、根据反馈自我修正但与此同时这些智能体的安全信息披露却普遍残缺。所谓“缺失近200项”不是指报告列了200条安全标准而所有智能体全都不合格而是说报告整理的安全检查项总数乘以30款智能体形成了一个总的安全信息对照矩阵其中将近200个格子是空白的。换句话说平均每款智能体有六七项基本的安全信息披露是缺失的。有些智能体没说明自己的数据训练来源有些没披露用户数据如何存储有些在权限控制这块完全没有交代还有些连基本的内容审核机制都没有公开说明。这就相当于一个人开着最高挡位的车却连安全带和安全气囊的说明书都不愿意给乘客看。我之所以说这份报告值得认真读就是因为它把智能体行业的“偏科”问题摆到了台面上大家都在卷自主性、卷工作流搭建、卷任务完成度但安全这块的功课明显没跟上。而这种偏科短期看是合规风险长期看是整个行业能不能被信任的问题。2. 自主性五级把模糊概念拆成可执行的刻度2.1 五级到底怎么划分的报告提出的自主性五级框架我用自己的话重新翻译了一遍这样比较好懂。第一级我管它叫“工具型智能体”。它本质上是一个带了一点智能的自动化工具你一步步指挥它一步步执行。比如你告诉它“先搜索这几个关键词然后把结果整理成表格”它照着做但自己做不了任何决策一旦任务描述不够具体它就卡壳。市面上很多早期的聊天机器人、简单的RPA脚本都处在这个级别。第二级是“辅助型智能体”。它开始具备理解子任务的能力能把一个大目标拆成几个步骤然后按部就班地执行但每一步之间还需要人工确认。打个比方你让它“帮我规划一次部门团建”它会自己列场地选择、预算预估、时间协调这几个子任务但每做完一步都会回来问你“场地选好了要预订吗”。这个级别的智能体已经能显著减轻工作负担但人仍然是每一道关卡的最后决策者。第三级是“协作型智能体”。到了这一级智能体开始拥有一定的主动性和容错能力。它能自己规划任务顺序能根据中途遇到的意外调整方案也能在执行完一部分工作后进行自我检查只有在它判断需要人类意见的时候才会上报。比如你给它一个长期任务“每两周汇总一次竞品动态输出分析报告”它会自己定时执行、自己整理数据、自己发现格式问题并修正只有遇到比如某个数据源突然不可用这种异常才会来找你。第四级是“自主型智能体”。这个级别意味着智能体能够在既定的业务边界内独立完成整套工作流人只在任务启动和目标设定环节介入。它可以自主调用外部API、跨系统操作、根据结果反馈动态调整策略。举个例子你告诉它“把仓库库存低于安全线的商品自动生成补货采购单并与供应商系统对接确认交期”它能自己在无人值守的情况下完成整个闭环只在出现异常时通知你。第五级是“完全自主型智能体”。这一级已经接近很多人想象中的AGI形态——它能自己定义子目标自己规划长期策略自己学习新的工具和技能并且能够完全独立地运行数月甚至数年。报告也明确指出在本次评测的30款产品里没有一款能稳定达到第五级水平大多数宣传中声称“自主”的产品实际测试都落在第二级到第三级之间。2.2 自动驾驶分级是个很好的参照系这套五级框架只要是对汽车行业稍有了解的人都会立刻联想到自动驾驶的L0到L5分级。这两套逻辑确实高度同构但有一个关键的思维迁移需要注意。自动驾驶分级的核心指标是“谁在开车”的接管程度L2是人盯着机器L3是机器盯着人L4是机器全权负责人只在特定场景兜底。智能体自主性分级的关键指标则是“谁在做决策”当你把一个目标交给智能体后中间环节的决策权有多少转移到了智能体身上。这个类比能帮我们建立一种非常宝贵的直觉自动驾驶这么多年了量产车普遍还在L2到L3之间徘徊没有哪家车企敢说自己所有场景都L4了。同样AI智能体现在的主流水平也就是第二级到第三级任何宣称“全自主”的产品你都可以先用这个框架去审一遍看看它到底经不经得起逐级测试。我特别建议大家在做技术方案讨论的时候直接把这套五级框架当成共同的交流语言。因为它天然带有“逐级递进”的思维约束——如果你要做第四级自主型智能体那么必须先把第三级的容错机制、异常处理、任务切换设计清楚如果你想从三级跳到五级那几乎等于跳过自动驾驶里的L4直接去谈无人出租车听起来很振奋落地时全是窟窿。3. 30款智能体解剖技术路径与选型启示3.1 解剖结果显示出的主流架构差异30款智能体放在一起看技术路径差异其实非常清晰大致能分成三类。第一类是“框架搭建型”。这类智能体以AutoGen、LangChain、MetaGPT这些开源框架为基础开发者自己组装工作流、设定工具调用链。它们的优势是可定制性极强但劣势也明显自主性高度依赖开发者的编排水平安全能力完全靠自己补框架本身不提供多少默认的安全边界。报告里自主性测试得分高的几个选手很多都出自这类但同样安全信息披露最差的那批也集中在这类里。第二类是“平台封装型”。这类以Coze、Dify这些智能体开发平台为代表主打的是零代码或者低代码搭建。用户通过拖拽节点、配置提示词、接插件来创建智能体。这类平台的优势在于把工作流搭建的门槛压得很低且平台方会提供一些标准的安全策略比如对话内容审核、敏感信息脱敏。但由于业务数据要经过平台很多企业在数据合规层面仍然心存顾虑。第三类是“垂直任务型”。这类智能体不追求通用只针对某个具体场景深度打磨比如专门做财务对账的、专门做代码评审的、专门做法律文书审查的。报告解剖下来这类智能体在自主性上往往得分不低因为任务边界清晰自我纠错更容易实现安全信息披露也相对完整毕竟垂直领域客户对合规的要求更高供应商拿不出安全材料连标都投不了。报告公开之后网上有不少有意思的后续讨论。比如DeepSeek团队公开过AI智能体的训练新方法核心思路是让模型在训练阶段就学会“什么时候该自主、什么时候该求助”这其实就是在往第三级和第四级之间的那道坎上使劲。再比如一些团队把“AI编程智能体工具”单独拿来测试发现编程这个场景因为结果可验证性极强智能体的自主性表现普遍比其他领域高出半级——代码能不能跑、测试过不过机器一测便知这给了智能体天然的自我反馈信号。这说明任务的可验证程度直接影响着自主性的实际达成率。3.2 从结果反推“好用”智能体的特征看完报告里30款智能体的对比我能总结出几个规律这些规律对选型特别有参考价值。好用的智能体往往不是参数最大的那个而是任务边界最清楚的那个。报告里有一款垂直任务型智能体模型本身不算特别大但因为在财务场景里深耕了很久对“发票”“报销”“对账”这些词背后的业务语义理解得很透实际完成任务的成功率反而排在前列。这其实印证了一个老道理智能体的天花板由模型决定但地板由工程决定。任务边界清楚、工具调用链路短、结果校验机制完整这三样比单纯的模型参数更能决定实际体验。另一个规律是自主性级别高的智能体普遍采用了“人在回路”的混合设计而不是一味追求全自动。真正落在第三级和第四级之间的好产品都会设计一个“人类介入点”任务启动时需要人确认范围执行过程中遇到低置信度情况会自动暂停输出结果时附上决策依据。反而是一味追求“全程无人干预”的智能体在长任务执行中经常出现路径偏移——它确实自主了但也自主地跑偏了。选型建议上我个人的判断是如果你的场景是文档处理、信息检索、数据整理这类低风险高重复任务直接选第二级到第三级的平台型智能体就够了用最低的成本把人从繁琐流程里解放出来如果你的场景涉及资金操作、法律效力、医疗建议这类高风险决策那么至少需要第三级以上的智能体并且必须配合完备的安全审计机制因为一旦出问题责任可不会因为“智能体自主干的”这句话就自动消失。4. 安全信息缺失近200项缺的到底是什么4.1 报告怎么评估安全能力在说具体缺失之前先讲清楚报告的安全评估方法论不然“近200项”这个数字很容易被误读。报告的做法是先整理一份智能体安全措施清单把业界公认的必要安全项都列进去。大致可以分为这么几类数据隐私与治理比如训练数据是否合规、用户数据是否加密、数据保留期限是否明确、模型安全比如是否做对抗性测试、是否能防御提示注入攻击、权限边界比如智能体最多能调用哪些系统、是否遵循最小权限原则、输出安全比如是否过滤有害内容、是否能识别并标识幻觉内容、可审计性比如是否有详细操作日志、是否有模型版本管理、是否有安全事件响应流程。然后报告逐一核对30款智能体官方公开的材料只要某款智能体没有对某个安全项做出明确交代就记一次缺失。所以这里补一个关键说明报告统计的是“信息披露缺失”不等于“实际安全能力完全不存在”。有些智能体可能内部做了很多安全工作但没有公开披露但反过来说在AI安全这个领域不做信息披露本身就是一种风险状态因为用户无法评估它是否值得被委以重任。你不能要求用户去信任一个连“数据存哪、谁能访问、出错怎么追溯”都不说明的系统。4.2 缺失项集中在哪里、后果如何把近200项缺失拆开看集中度非常高。缺得最多的是三类一类是权限边界说明很多智能体在官方文档里只讲“能做什么”不讲“不能做什么”一旦智能体接入了企业内部的多个系统权限未明确就等同于给攻击者留了横向移动的通道另一类是操作日志与审计记录几乎所有表现亮眼的自主型智能体在这块都含糊其词而日志恰恰是出事后排查问题唯一的抓手还有一类是红队测试与对抗性验证披露只有很少几款智能体公开说明自己做过对抗性攻击测试其余的都没有交代。这三类缺失的后果用一句话概括就是智能体出事之后你既不知道它为什么这么做也不知道它还能做什么更不知道怎么保证下次不再发生。想象一下一个能自主调用邮箱、数据库、支付接口的智能体它的权限边界没写清楚、操作日志没有留全、对抗性测试没有记录这就像是一位拥有公司所有门禁卡的外包员工业务能力很强但他的权限范围、行动轨迹和入职背调全都没有存档——能力强和风险高在这类场景里往往是同一枚硬币的两面。报告同期业界其实已经在往这个方向补课了。热榜上能看到“通用型AI智能体L1-L5分级安全框架白皮书”这类文档在流传很多安全团队也开始把“将安全信息应用到对象”这样的操作逻辑从传统软件移植到智能体场景里来思考。说到底智能体安全的核心命题跟传统软件安全并没有本质区别谁的权限、能做什么、做了什么、有没有被记录。只不过传统软件里这些是静态配置到了智能体里变成动态决策——这恰恰让信息披露和审计机制变得更重要而不是更不重要。5. 实操建议定级、工作流搭建与安全补全清单5.1 怎么给智能体定级、怎么搭工作流报告看再多不落到自己的项目里都是白搭。这里我分享一套我自己实践后觉得比较顺的落地流程供参考。第一步先给你的业务目标做任务拆解而不是急着写提示词。把你要交给智能体的核心任务一层层拆开直到拆出一个个不可再分的操作单元比如“读取邮件附件”“检索知识库”“生成摘要并发送”。做完这一步你才能看清哪些操作单元风险低、可全自动哪些涉及关键决策、必须有人工确认。这一步其实就是给智能体定级的依据任务里含多少个高风险决策点智能体就压在哪个级别不要硬冲。第二步是划定工具调用边界。很多人搭工作流时只想着给智能体“多接几个API”却忽略了反向问题接到什么程度算够我的建议是先遵循最小权限原则——智能体接入的每一个工具、每一条API密钥都必须有明确的“用不到就撤下”的规则。比如一个做竞品分析的智能体它需要访问搜索API和浏览器但根本不需要访问你的财务系统那就明确禁掉。这一步直接影响你的智能体能不能通过第四节的审计思维检验。第三步是设计人类介入点。这一步最考验经验。我踩过的坑是一开始追求全自动结果智能体在长任务里悄悄偏离了原始目标等发现时已经浪费了两天时间。后来学乖了在任何超过五个步骤的工作流里都会在步骤间隙插入“关键校验点”比如让智能体每完成一个阶段就输出一份临时结果并标注它的置信度置信度低于某个阈值时自动切换为请求人工确认模式。这个设计把第三级的容错能力和第四级的自主性结合了起来实测下来比纯L4方案稳定得多。第四步才是写提示词和搭工作流。此时你手里已经有了任务清单、工具清单和介入策略剩下的执行部分是水到渠成的事。反而很多人一上来就研究提示词技巧、研究Agent框架的配置顺序颠倒导致工作流越搭越复杂出了问题还找不到根因。5.2 安全信息补全清单与常见坑安全这块报告给我们拉了一个非常实用的参照清单。你不需要等报告来解剖自己的智能体完全可以自己先按下面这份清单自查缺什么补什么能补成文档的写成文档数据来源与训练数据是否明确说明了数据来源、是否包含个人信息、是否需要授权。存储与加密用户数据存哪里、是否加密、保留多久、由谁管理。权限边界智能体能够访问哪些系统、哪些操作被明确禁止、密钥如何管理。提示注入防护是否对用户输入做了越权指令检测、是否限制系统提示词被覆盖。内容安全审核生成结果是否经过有害内容过滤、是否有幻觉识别机制。操作日志与审计每一步操作是否有记录、日志保存多久、能否支撑事后追溯。红队测试与对抗性验证是否做过模拟攻击测试、结果如何。安全事件响应发现异常时的应急预案是什么、由谁负责、如何通知用户。模型版本与更新当前用的是哪个模型版本、更新策略是什么、版本回滚是否可行。责任说明与免责边界哪些情况由智能体承担、哪些情况必须人工接管不能暧昧。这份清单虽然不复杂但实际操作中容易踩几个典型的坑。第一个坑是“写了等于做了”。有些智能体确实写了安全说明但细看全是空话比如“我们会保护用户隐私”却说不清用什么方法保护、由谁监督、泄露了怎么赔偿。正确的做法是把安全文档当成工程文档来写每一项都要对应到具体的配置和流程。第二个坑是“只在边缘做防护”。不少团队给智能体加了内容审核、加了敏感词过滤就觉得自己安全功夫到家了。但报告里缺失最严重的权限边界和操作日志恰恰是边缘防护取代不了的内功。内容审核只是“输出前刹一脚”权限边界决定系统被攻破后能伤到哪日志决定出事后能不能溯源这三者缺一不可。第三个坑是“没有给安全做回归测试”。智能体每次升级模型版本或者调整提示词都可能改变它的行为倾向原来不会触发的越权操作可能突然就出现了。我现在的习惯是每次更新后都拿一套固定的安全测试用例去跑一遍比如故意输入一些探索越权边界的指令看看智能体会不会被哄骗着做超出权限的事。6. 写在最后我踩过坑之后的一点体会报告里的数据是冰冷的但数据背后的人应该对自己有要求。我这两年搭建智能体工作流踩过最深的坑不是技术层面而是认知层面的总觉得智能体的能力边界取决于模型水平所以我花大量精力去换更强的模型、钻研更花哨的提示词却忽略了一个更朴素的问题——我到底要它替我做什么决策、它能做什么决策、它做决策的依据我怎么审计。这三件事想不清楚再强的模型也只是把错误放大得更有条理而已。另一件让我反复咀嚼的事是自主性分级和安全信息披露其实是一对天然的正相关指标。敢于把操作日志、权限边界、失败案例都公开出来的智能体反而更值得给它更高的自主权凡是遮遮掩掩、什么都说不清楚的哪怕演示视频再惊艳也不敢把关键业务交给它。这套判断标准跟报告得出的大方向完全一致。最后送大家一条很实操的判断标准如果一个智能体不能清楚地告诉你“它不能做什么”那你就默认它什么都可能做。安全这件事不是报告的附加章节是能不能把智能体真正用起来的前提。
全面解析：从发育机制到临床转化)
