你的智能体的系统提示词里，某处有这么一句话："购买前务必询问用户。"对今天上线的大多数智能体来说，这一句话就是它全部的自主性边界；而自 2026 年 7 月 15 日起，有一个国家级监管者认为，这样的设计在构造上就不够。中国的《智能体规范应用与创新发展实施意见》要求每一个部署的智能体在部署之前把自己能做的决定分入三档——仅限用户、需用户授权、可自主——并且永不超出用户授予的范围。这一点靠提示词满足不了。要满足它，得靠一道位于模型之外的关卡——而这恰恰是好的智能体架构本来就在收敛的方向。
要点速览
一份文件、三个部门，以及一国政府第一次把智能体当作自成一类的受规管对象，而不是当作生成式 AI 的一种应用。
| 项目 | 内容 |
|---|---|
| 文件 | 《智能体规范应用与创新发展实施意见》 |
| 发布主体 | 国家互联网信息办公室、国家发展改革委、工业和信息化部——联合印发 |
| 发布 / 施行 | 2026 年 5 月 8 日 / 2026 年 7 月 15 日 |
| 文件性质 | 实施意见——政策性文件，非法律。它确立应然实践，并预告接下来会被固化成什么。 |
| 核心义务 | 每个智能体都要有一份成文的三档决策权限边界，且在部署之前确立 |
| 适用范围 | 按场景分级分类：敏感行业承担备案、测评与召回义务；低风险用途依靠自评与行业自律 |
真正咬人的那一条
文件的大部分内容都是你能从一份产业政策里预期到的东西：把智能体定义为具备自主感知、记忆、决策、交互与执行能力的智能系统；提出十九个典型应用场景，覆盖科技研发、产业发展、消费提振、民生福祉与社会治理；以及在标准体系、开源生态和评测工具上的部署。它的调门是"放得活"与"管得好"，而且其中大部分是推动，不是限制。
然后是那条授权要求，它对这类文件而言具体得反常。在智能体被部署之前，三类决策之间的边界必须被确立并写下来：
- 仅限用户作出的决策。智能体可以准备、可以建议、可以解释；它不能动手，而且任何授权都不能让它能动手。
- 须经用户授权后智能体方可执行的决策。授权是按动作或按范围给出的，且先于执行。
- 智能体可自主处理的事项，且严格限于被授予的范围之内。
附在其上的还有两条容易被一扫而过、却承担了大部分分量的规定：用户对智能体的自主决策保有知情权与最终决定权，且智能体的执行不得超出用户授权的范围。把它们当作工程要求而不是原则来读，被要求的是什么就清楚了。
为什么提示词满足不了它
一条指令不是一道边界
如果"购买前先问"这条规则住在系统提示词里，那么执行这道边界的组件，就与那个读取攻击者可控文本的组件、那个被随机采样的组件、那个偶尔会认定这一笔购买显然正是用户想要的组件，是同一个组件。它不是一项控制；它是向一个概率系统提出的一条强烈建议。"不得超出用户授权的范围"这一条在那种设计里是无从满足的，因为系统里没有任何东西以任何可校验的形式知道被授权的范围是什么。
把边界挪到模型之外，每一条都变得可实现。模型提议一个动作；一道关卡读取动作的类型与参数，查出用户实际授予的范围，然后拒绝、升级或执行。档位成了动作的属性，由代码来判定。"永不超出授权范围"从一句期许变成了两个数据结构之间的一次比较。
这三档就是你本来就需要的权限模型
把它写开：第一档是智能体的凭据根本不该有能力执行的动作；第二档是需要一枚新的授权令牌才能执行的动作；第三档是落在一份长期授权之内的动作。这就是普通的授权设计，而且它的实现方式是众所周知的：收窄凭据而不是收窄提示词、留下"何时授予了什么"的记录、让授权会过期。这份文件的贡献不在机制——而在于它要求你在部署之前把动作逐一列举并分类，而不是在事故当中才发现这份分类。
任何认真做过智能体的人，都会认出那份列举正是他们本打算写、却没写的设计文档。它枯燥，它逼着人为"哪些动作其实可逆"吵一架，而它是一个智能体团队能产出的最有用的一件东西。如今一个监管者在一个大市场里把它变成了强制项——这是一条最佳实践得以扩散的不寻常路径，但并非无效的路径。
关于知情权的那一条，是一项日志要求
"用户对自主决策保有知情权"，在一个不记录自己自主决定了什么、依据是什么的系统里无法被满足。落到实处，这意味着一条按动作的记录——提议、档位、所依据的授权、结果——存放在智能体自己改写不了的地方。已经在做智能体链路追踪的团队，这部分基本都有；只在会话层面打日志的团队则几乎没有，因为记录的单位就错了。
它与你已经在盯的那些框架有何不同
有意思的差别不在严格程度，而在分类的单位。欧盟《AI 法案》给系统分级：你判定自己的产品属于禁止、高风险、有限风险还是最小风险，然后一组义务附着到产品上。《实施意见》给决策分级：一个智能体会同时包含三个档位里的动作，而分类的结果是一张表，不是一个标签。至于 NIST AI RMF，它什么都不分级，而是描述一套组织去运行的流程。
按决策分级，能以按系统分级做不到的方式映射到智能体架构上。一个智能体并不是单一的风险等级——一个会读文件、跑测试、开 PR 的编码智能体，在同一个循环里就横跨三个义务类别，而一个产品标签表达不了这件事。这就是为什么欧盟那套用在智能体上时，倾向于产出一份摆在系统旁边的合规材料；而中国这套产出的那份，必须被编译进系统里去。这究竟是起草者的本意，还是把"分级分类"治理思路译到一项新技术上时的一个幸运巧合，都不影响它是更贴近架构实情的那一刀。
义务本身仍按行业以熟悉的方式递减。医疗、交通、媒体与公共安全领域的智能体面对备案、合规测评与产品召回条款；娱乐与日常办公则得到自评工具、信息报送与行业自律。不随之递减的，是那道授权边界本身。
该怎么办
如果你在中国境内运营，显而易见的动作是找法务把文件认真读一遍。不那么显而易见、但更普遍有用的动作是：无论你在哪里上线，都把它所要求的那件材料做出来——因为这项工作量不大，而它承重的理由与任何监管者都无关。
| 步骤 | 产出 | 为何在中国之外也划算 |
|---|---|---|
| 列举智能体能采取的每一个动作，包括经由工具服务器的 | 一份通常比预期更长的清单 | 多数团队会发现一些没人知道够得着的动作 |
| 按可逆性与爆炸半径把每一项分入三档 | 那张授权表 | 把自主性之争一次性写定，而不是每次事故重吵一遍 |
| 把第一、二档落到凭据和关卡里，而不是提示词里 | 一道模型之外的授权检查 | 唯一能在提示词注入下幸存的防御 |
| 按动作记录提议、档位、授权与结果 | 一份只可追加的决策日志 | 任何事故复盘或审计都会索要的证据 |
| 让长期授权过期并重新征询 | 有界的委派 | 阻止智能体随着工具变多而发生范围蔓延 |
对这份文件的限度也要看清楚。实施意见是政策性工具，不是带明确罚则的约束性法律；执行机制、测评标准与备案程序在很大程度上被交给了行业主管部门和标准化机构，而它们尚未全部出台。任何人如果现在就精确告诉你合规在操作层面长什么样，都是跑在了可得事实前头。可以稳妥得出的结论是方向性的：第一个把"智能体的自主边界该长什么样"写下来的国家级监管者，选择了按决策授权——而监管者是会互相抄作业的。
常见问题
中国境外的公司也适用吗？
直接地说，它适用于面向中国境内用户部署的智能体，实际的判准是你的用户在哪里，而不是你的公司在哪里。间接地说，它在哪里都要紧：这是第一份对智能体自主边界的具体监管规格，很可能会塑造其他监管者接下来要什么。
这是一部有罚则的法律吗？
实施意见是由多部门联合印发的政策性文件，不是立法机关通过的法律。它确立应然实践并指示行业主管部门行动；可执行的细节要通过它所指示的行业规则、标准与备案制度落地。把它当作对实践有约束力、对罚则尚待明确来对待。
一个确认弹窗够得上第二档吗？
只有当这个确认就是真正解除执行阻塞的那一环时才够。一个模型可以自行决定跳过的弹窗是 UI，不是授权。判准是：在不存在批准记录时，一个动作能不能抵达外部世界——如果能，你有的是一道穿着关卡外衣的提示词级边界。
那完全自主的智能体怎么办？
原则上不受影响，实践中受到约束。第三档是明确存在的，智能体可以在被授予的范围内自行行动。文件排除掉的是无界的授权范围——用户必须授予过某种具体的东西，而智能体必须无法越过它。
我们已经在做人在回路的审批，这不是一回事吗？
思路是同一个，实现通常更弱。常见做法是以模型产出的置信度信号或一条提示词指令来设关；这里的要求是分类必须是动作的属性，在部署之前判定，并独立于模型来执行。
延伸阅读
本站相关：
- 自主性等级——这项规定把它压缩成了三档的那把五级阶梯。
- 收窄作用域的凭据——分档执行在实现层面到底怎么做。
- 面向智能体的欧盟 AI 法案——与之对照的系统级分级。
- 审计轨迹——知情权条款所要求的那份记录。
- 审批与确认 UX——让第二档好用，而不是沦为无脑点击。