真正的发布内容是那条目录条目，不是那个邮箱地址

概览

于 2026 年 10 月 8 日 Google 的 Gemini at Work 活动上发布，初期面向企业客户以私有预览形式提供。Thomas Kurian 把它描述为一个单一的、通用的工作智能体；它可以把任务委派给子智能体，并在 Google 自家模型与 Anthropic 的 Claude 之间路由任务，据报道还有其他模型在计划中。本文可得的来源里没有 Google 自己的公告，因此下面逐项的细节均为报道该活动的若干家媒体所述。

孤立地看，这里没有任何一点是对这个设计的批评。一个在独立子域下、独立且带认证的非人类主体是对的形状，而且明显优于当今多数机构在跑的东西。本文的论点是：一个办公账号是为员工设计的一整包，而这一整包里没人要求过的那些部分，正是改变你威胁模型的那些部分。

它修好的反模式是真实的，值得先点名

它取代的东西是共享机器人账号：一个其实是人类账号的「服务」账号，由需要它的人创建，与一个自动化程序和三个同事共享，密码放在保险库里，而审计日志写着 ops-bot 做了某件事。当那个账号做了意料之外的事，「这是谁干的？」没有答案，而补救性的问题「它还能触达什么？」答案更糟。

一个带认证的「每智能体一个主体」干净地回答了第一个问题，并让第二个问题变得可被回答。它也让最小权限变得可表达：你无法在不弄坏另外三个使用者的前提下，把一个共享账号收窄到一个任务上，而这正是共享账号的权限永远单调累积的原因。独立主体是面向智能体的受限凭据里一切内容的前提，而那份认证是智能体身份与认证里有用的那一半——能以密码学方式校验身份的下游系统，可以拒绝一切拿不出身份的请求。

把这个胜利拿下。然后注意到，这个胜利完全是关于「知道并约束是谁动了手」，而其中没有一点在决定某个特定操作是否应当发生。

归属与触达一起增长，而其中只有一个是控制

把智能体身份的三种形状按两个轴并排放上去，这笔交换就看得见了。一个共享服务账号几乎记不下任何有用的东西，也没有入向面。一个受限委托授权——智能体代某个具名人类行动，同意被记录在案——记得很好，而且仍然没有入向面。一个目录主体在三者中记得最好，而它是第一个带邮箱的。

这种配对不是巧合、也不是疏漏；它就是产品。把智能体做成目录主体的理由，正是让它能参与人们所参与的那些系统，而这恰恰就是扩大了「它能被要求做什么、以及被谁要求」的那件事。于是它能采取的操作数量，与这些操作记录的保真度，是一起上升的；而团队可靠地会把第二个读成对第一个的缓解。一次未授权写入的完美日志，仍然是一次未授权写入——这个区分我们在引用监视器里反复回到：身份是一个主体，而关于一个操作的决策必须在请求路径上、针对参数、每一次都做一遍。

被报道的设计里还有第二道更安静的皱褶。身份是稳定的，而以该身份行动的东西不是：工作被路由到来自两家厂商的模型上，据报道还有更多在计划中。你的审计日志会说这个智能体做了某件事；但若不额外做工，它不会说出是哪个模型的行为产生了它。这是锁定与校验里的版本锁定问题抵达了一个身份决策的内部，而它会在第一次需要把一次行为回退归因到一次模型变更时就开始要紧。

邮箱是一条通往智能体上下文的、无需认证的写入通道

这是那个结构性的改变，值得直说，因为这则公告的框架——一位拥有自己邮箱账号的 AI 同事——会邀请你把它当作一种便利来思考。在它之前的每一种智能体身份设计都是出向的：智能体持有凭据并向外触达，而不可信内容只在智能体主动去找的地方进入它的上下文。一个可寻址的邮箱把这件事倒过来。任何能猜到或发现这个地址的人，都可以把任意文本直接放进智能体要处理的队列里，不需要凭据、不需要批准，也不受任何限速约束，除了你的邮件网关的。而一个发布在目录里、位于常规子域下的地址，本就是为可被发现而建的。

标准的反驳是邮件认证，而它值得一个精确的回答。SPF、DKIM 与 DMARC 确立一封邮件的发送域名确如其所声称。它们对邮件内部那个请求的权限不作任何陈述。一封来自真实供应商真实域名的、认证完美的邮件，仍然是一个陌生人在告诉你的智能体该做什么；而一个被攻陷的供应商邮箱，是一个已通过认证的邮箱。这个缺口就是指令层级的全部内容，而把通道认证当成内容授权，正是那封自动回复就是那份授权里的失效发生的原因。

于是那个致命组合会自行组装，不需要攻击者有任何巧思：不可信输入抵达邮箱，智能体的目录身份携带着私有数据的访问权，而邮箱本身又是一条出口通道。结构性的答案是让这三者不在同一次运行里共存——在邮箱前面放一个分类器，把外部邮件变成智能体去读的、带来源标签的类型化记录，而不是它去回应的一轮对话，并让发送路径无法从邮件内容触达。领域专属的版本是邮件与日历智能体，而那个必须活过整次运行的标签是上下文污点追踪。

日历更糟，却得到更少关注，因为一个邀请感觉不像一封邮件。它带着标题、描述、附件和链接，由你组织之外的人撰写，而在多数默认配置里它会自行填充、无需任何人批准。它还会把智能体的空闲时间泄露给发送者。

第一起事故会来自组成员身份

下面这个失效完全不需要攻击者。有人把智能体加进 engineering@，好让它跟上团队的会话。那个套件里积累了六个月、瞄准 engineering@ 的共享——文件夹、文档、看板、日历，还有一个「与团队共享」的保险库。智能体现在传递性地持有了全部，而没有人对其中任何一项做过决定。没有任何东西配置错误。目录做的正是目录做的事。

一个目录主体是企业里最像环境权限形状的物件，而缓解手段既乏味又有效：让智能体远离成员名单为人类维护的用户组，哪怕这意味着复制一个组；并按传递性而非按声明去审计。问题从来不是「我们授予了智能体什么」，而是「这个主体此刻经由它所属的每一个组，能触达到什么」——那是一份你的身份平台能产出、而几乎没人向它索取过的报告。它的节奏是智能体凭据的访问复核；该在意的理由是影响半径。

检索方面的后果是把一个权限问题变成一次信息披露的那一步。一个对自己能看见的东西做摘要或建索引的智能体，会继承它所属每一个组的并集，于是单独一个回答就可能把提问的人从未被授权接触的材料组合在一起。如果智能体用自己的身份、而不是请求者的身份去读，你就造了一个带目录条目的混淆代理——正是权限感知检索要防止的那种失效。

再就是生命周期，而它没有触发器。企业身份生命周期跑在 HR 事件上：录用、调岗、离职。一个智能体在某个下午由平台团队创建，在某次发版里被指向一个新模型，并在项目被取消时被遗弃。什么都不会触发，所以无人认领的智能体账号——活着的主体、还在组里、还在收邮件、负责人现在在另一个部门——是默认终局、而不是边缘情况。修法是一个具名的人类负责人，配上季度重新确认和一个到期日，这就是智能体清册与注册表和让一个智能体下线里的纪律。

启用之前要问的问题

五个问题，按它们会咬人的顺序排列。没有一个是反对这项功能的理由；全都有一个配置层面的答案，而且没有一个的默认答案是你会喜欢的。

• 我们能要那个认证身份、而不要那个邮箱吗？审计上的改进并不要求一个入向地址。把这一整包当成六项独立授权，一项一项地批。
• 这个地址可被发现吗，它遵循一个猜得到的惯例吗？隐蔽不是一项控制，但基础比率是真的：一个发现不到的地址只收你路由给它的邮件，而一个能被发现的地址会收到每个扫描器发给你域名下每个地址的一切。
• 智能体在哪些组里，而那些组传递性地授予了什么？上线前把报告跑出来。预期当天下午就会把它从两个组里移出来。
• 谁拥有这个主体，而他们离职时会发生什么？如果答案是一个团队别名，那就是没有负责人。
• 智能体的邮箱落在留存、法律保全与删除请求的范围内吗？它是一份业务记录，装着陌生人发给它的任何东西。一份为员工邮箱写的计划覆盖不了它——留存与法律保全。

这五点的运维版本，连同控制分档与演练，是拥有目录账号的智能体。

延伸阅读

本站：

• 拥有目录账号的智能体——这个论点的运维版本，带演练。
• 智能体身份——三种模式，以及共享机器人账号为何失败。
• 环境权限——一个目录主体为何会累积起没人授予过的触达范围。
• 邮件与日历智能体——在一条陌生人能写入的通道上做构建。
• 权限感知检索——用请求者的权限去读，而不是用智能体的。

来源：

• TechCrunch — Google brings agentic AI to Gemini, starting with businesses
• The Next Web — Google launches workplace AI agent that gets its own email address
• MarkTechPost — Google Cloud launches Gemini Agent, one universal agent for enterprise work