10 月 9 日凌晨谷歌云在 Gemini at Work 大会上推出企业通用智能体 Gemini Agent。同一天前后亚马逊云科技宣布 Bedrock AgentCore 在北京与宁夏两个区域正式可用一次上线 Runtime、Gateway、Identity、Browser Tools、Code Interpreter、Observability 六项能力。两家在同一个窗口做同一件事说明行业对「智能体卡在哪」已经有了共识。这个共识有一组数字佐证Gartner 预测到 2027 年底40% 的 Agentic AI 项目将因成本攀升、业务价值不清晰或风险控制不足而被取消。有分析把现状概括成「89% 的试点倒在生产门口」。这个 89% 我没找到一手出处不作为事实引用——但它描述的方向和 Gartner 的 40% 是一致的难点不在做出来在跑起来。一、把「跑起来」拆成五个环节Bedrock AgentCore 上线的六项能力恰好可以反向读出厂商认为的卡点在哪。把它们归类其实是五个环节环节卡点对应能力运行长会话跑不动、弹性扩不起来Runtime身份智能体以谁的身份访问企业系统Identity接入怎么统一管控它能访问哪些服务Gateway交互怎么和浏览器、代码执行环境打交道Browser Tools / Code Interpreter观测出问题了从哪看、怎么重建Observability这五项里没有一项是「模型不够聪明」。五项全部是工程基础设施。再看另一条线。10 月ZStack 在解读 Gartner 关于智能体治理的报告时给出了一个关键的设计原则可以直接抄授权服务不可达时权限检查保持拒绝状态。同一条线里还提到当访问发生变化时管理员应当能列出并撤销平台签发的 MCP 访问令牌且签发与撤销两个动作都要留下记录。三个来源Gemini Agent 的定位、AgentCore 的六项能力、Gartner 治理报告的落地解读指的方向完全一致智能体的生产化是治理问题不是能力问题。二、四个具体的卡点卡点一身份是智能体的不是人的传统系统的访问控制建立在「谁在访问」上。智能体打破了这个前提——它可能是代表某个员工在访问也可能是按计划自主在访问。这两种情况需要完全不同的授权模型。前者的判定依据是「委托人有没有这个权限」后者需要「这个任务本身有没有被授权」。如果系统只能回答「是哪个 token 在访问」那么这两种情况分不开。Gartner 那条治理路径里有一个细节值得注意智能体代表员工工作时需要保留委派来源让操作审计能关联到实际发起人。这就是把「身份」和「授权来源」两件事拆开处理。卡点二权限撤销要有明确入口企业环境里给智能体开权限往往比撤销容易。理想状态是服务开通、调用准入、访问撤销能在同一个管理流程里完成不需要逐个进到每个智能体应用里改配置。判断标准很直接当某个智能体的权限需要收回时运维能不能在一个地方列举出它持有的全部令牌并一次性撤销如果答案是「要去 n 个系统分别操作」那么这套授权在实际运维中就是不可撤销的。卡点三观测数据本身会成为攻击目标这一条是最反直觉的。智能体治理通常会把「可观测性」当成一个中性能力——多打点、多记录总是好的。但有一个判断值得重视原本用于监控智能体行为的日志与审计系统一旦被攻陷反而会成为隐藏恶意操作、销毁痕迹的帮凶。所以日志系统不能只是一个更宽的数据入口它需要只追加约束 哈希链这类防篡改机制且导出动作本身也要被记录。这一点在多数 PoC 里都会被省略因为 PoC 不关心有人会攻击日志。卡点四成本算不出来Gartner 列的三个取消原因里「成本攀升」排在第一个。智能体的成本结构比传统服务复杂得多模型调用是变动成本、工具调用有额外开销、长会话会持续占用上下文、失败的尝试同样要付费。多数团队在 PoC 阶段算的是「单次任务成本」而生产环境需要的是「每笔业务成本」。两者之间差着重试率、失败率、人工介入率。这三个率在 PoC 里通常高得离谱因为样本少、场景简单上线后才会暴露真实值。三、一个判断为什么这批卡点集中在这两年爆发把视角拉高一点。这五个环节——运行、身份、接入、交互、观测——没有一个是新问题。云原生时代已经解决过一遍类似的东西容器解决了运行Service Mesh 解决了接入与观测IAM 解决了身份。为什么智能体让这些问题重新变难了我认为原因是智能体的访问是「自主的」而不是「被编排的」。在微服务架构里服务 A 调服务 B 这条路是代码写死的在智能体架构里智能体要访问什么工具是运行期决定的。这个差别让静态的授权配置失效——你没法为一个「运行期才知道要调什么」的主体预先配好权限。所以真正的解法方向不是「配得更细」而是把授权从静态配置改成运行期判定请求到了再判判的依据是「当前这个请求能不能执行」而不只是「这个服务有没有开通」。Gartner 报告解读里那句话说的就是这个——把「服务开通给谁」延伸到「当前请求能否执行」。四、结语与适用边界这五个卡点里前四个运行、身份、接入、观测都有现成的工程解法只是需要被显式地做出来。第五个成本没有通用解只能靠对业务的理解。把视角落到国内企业的实际环境智能体落地面对的额外约束有三条——调用链不能出内网、凭据不能依赖外部身份服务、操作留痕要能作为审计材料。这三条决定了接入形态通常不是「直接把智能体接到 SaaS」而是先把业务能力包成可鉴权的接口再由平台层统一收口白名单与出网策略。金蝶天燕 Apusic 这条线上AIAP 承担的是智能体从构建到运营的平台侧职责工作流编排、多智能体协作、运行沙箱隔离工具调用、敏感操作执行前人工确认、全链路推理轨迹可追溯、操作日志完整留痕Aurora 承担的是运维治理侧的智能体职责自然语言指令转标准化操作、变更执行与异常回滚、操作留痕可审计两者的工具接入方式都是 MCP/CLI。它们对应的是上面五个环节里的「接入」与「观测」两段而这两段恰好是 PoC 最容易跳过、生产最容易出问题的部分。适用边界本文的判断基于 2026 年 10 月公开的厂商动作与 Gartner 公开预测。文中引用的 40% 取消率是预测值而非实测统计「89%」一说未找到一手出处本文不作事实引用。厂商能力清单以对方正式文档为准。互动你们的智能体项目现在处在哪个阶段如果卡住了是卡在模型效果还是卡在上面这五个环节里的某一个