2%→72%
模型能力 36 倍成長
單 Agent 正走向團隊級、組織級 Agent 集群，能力已不是唯一問題。
一張圖讀懂：能力暴增，管控面成為新基建
SWE-bench Verified 解題率兩年由 2% 升至 72%。但 15 個 Agent 協作不等於 15 倍效率：缺少控制面，能力越大，安全、成本與協作風險也越大。
15 Agents
90 秒定位根因
阿里雲內部 SRE 案例，把小時計的逐層排查縮到約 90 秒，人只做最終確認。
¥2,000+
每天 Token 成本
講者個人小型 AI Gateway 的日成本；多 Agent 若無歸因與預算治理，帳單會快速失控。
從「能跑」到「能管」的三道坎
治理問題來自人、Agent、工具、模型與資源的多對多關係。企業需要能回答：誰以什麼權限做了什麼、花了多少、結果是否可信。
01
安全失控
API Key 散落、MCP 憑證失管、日誌洩密；一次 Worker 入侵可能暴露整個團隊。
02
成本黑洞
只看到月帳單，卻不知道是哪個 Team、Task、LLM Call 或重試造成，無法分析 ROI。
03
協作混亂
無組織結構、通訊邊界與治理策略，Worker 自由對話易跑偏，Prompt Injection 半徑不可控。
兩個真實場景：控制面為何不是選配
場景 A｜AI Native 研發全鏈路
Issue → Spec → Code → Test → Review → Deploy，由 6 個 Agent 接力。Leader 統一編排，人在審批、評審與確認節點介入；憑證、權限與成本回收到 Team 維度。
場景 B｜跨三網數字員工
研發、值班答疑、開源維護、經營分析四個 Team，15 個 Agent 橫跨雲上／IDC／辦公網 7×24 運作，用統一憑證、PrivateLink 與驗證驅動信任。
從 Cloud Native 的控制面，映射到 AI Native
容器時代先有 Runtime，再有編排與 Service Mesh；Agent 時代同樣需要協作編排治理平面。
| Cloud Native | AI Native | 治理含義 |
|---|---|---|
| Container / Pod | Agent / Worker | 可替換、可伸縮的執行單元 |
| Deployment / Service | Worker / Team / Human | 協作拓撲與服務邊界 |
| kube-controller | hiclaw-controller | 狀態調和與生命週期管理 |
| Ingress / Gateway API | AI Gateway（LLM / MCP） | 模型、工具、流量與憑證入口 |
| Service Mesh | Matrix Rooms | 人與 Agent 對等的通訊、身份與審計 |
AgentTeams 全生命週期治理
入口做身份與憑證，Team 承載協作，右側做精細化管控，底座保存可觀測與審計證據。
企業入口
Matrix / API / IM
Matrix / API / IM
身份與憑證
IDP · STS · 委託鏈
IDP · STS · 委託鏈
Agent Team
Leader + Workers + HITL
Leader + Workers + HITL
資產與管控
Model · Skill · MCP · RBAC
Model · Skill · MCP · RBAC
身份整合
Agent 與人都是一等實體；委託人身份沿調用鏈傳遞，每次操作都能追溯。
精細管控
模型憑證託管、Worker 限流配額、MCP 二次授權與 RBAC 最小權限。
可觀測／可審計
Team／Task 分析、Token 即時歸因、瓶頸定位與全鏈路操作留存。
三條設計底線：可信、可控、可審計
01
Agent 是獨立安全主體
每個 Agent 都有全域唯一 ID；調用可追溯至委託人；存量 Agent 也要統一納管。
02
權限是編排的一部分
L1 實例、L2 團隊、L3 資產三層建立時即定義，最小權限貫穿 Team → Agent → Tool。
03
Worker 不碰明文密鑰
加密儲存、按需注入、用完即焚、運行時防洩露，從架構上縮小攻擊面。
Team：協作與隔離的基本單元
Leader 統籌調度；Worker 專注執行且彼此禁止直接通訊；Human-in-the-Loop 是一等公民，不是事後補丁。
Leader–Worker
只有一位 Leader。Worker 遇到問題先找 Leader，必要時再升級給人，避免自由協作跑偏。
資產共享
Skill Registry 統一能力市場；Worker、Skill 與 TeamSpec 可版本化、複用與一鍵部署。
三層權限隔離
控制誰能建立 Team、進入 Team，以及 Worker 可使用哪些 Skill／MCP。
Task：治理真正的抓手
模型只是供應能力；承載目的、責任、上下文、預算、產物與審批的是 Task。
DAG 拆解與調度
Leader 將目標拆成子任務，依賴就緒後自動調度 Worker。
上下文隔離
每個 Task 有獨立上下文與儲存，Worker／Task 互不可見，防止資料串擾。
追蹤與成本歸因
從 Task、subTask、LLM Call 到 Tool Call 全鏈路追蹤，Token 可按 Team／Task 歸因。
產物獨立歸檔
計算與儲存分離，物件儲存為唯一真相來源，Worker 保持無狀態。
踩坑實錄：加 Agent，不如先加管控面
−40%
任務拆解回到 3 個
1 Issue 拆 8 子任務，通訊 Token 高於執行；資料驗證後拆 3 個效果最好，端到端時間縮短 40%。
隔離
切斷憑證橫向傳播
Worker A 不再讀到 Worker B Token；每個 Worker 擁有獨立憑證作用域。
−80%
阻斷 Reviewer 死循環
高價模型一晚燒掉 3,000 元；加入預算告警、Session 超時與異常升級後，成本下降 80%。
3→1
三網憑證統一收斂
一處配置、雲上／IDC／辦公網三網生效，避免手動遺漏與靜默失敗。
200→50ms
PrivateLink 直連
跨 VPC 延遲下降 75%，降低跨網超時與業務不穩定。
−60%
驗證驅動信任
前 100 次驗證準確率 95%+ 後改抽檢，MTTR 縮短 60%。
「先跑起來，再管起來」的真義：先在受控範圍取得證據，再讓治理自動化。
這不是先上線再補安全。先由人把住權限與關鍵節點，蒐集真實 Trace、錯誤、成本與品質資料，再把高信心流程逐步從全量複核改為抽檢。企業最大的阻力，不是 Agent 做不做得到，而是出了問題還能不能守住底線。
Roadmap：從「跑起來」到「管得住」再到「跑得好」
已完成
公測、釘釘登入、IM Channel、團隊任務執行與觀測。
近期
任務／定時任務、飛書／企微、第三方 Agent 納管、Agent HPA／VPA。
中期
Team 模板、Agent Registry／市場、企業 IDP、Team 評估與進化。
遠期
效果治理、FinOps 優化、Team 自進化與更多協作模式。
現場 Q&A：身份、委託與 Agent 生 Agent
數字員工如何與企業資料權限融合？
理想狀態是 Agent 有獨立身份，可直接授權。過渡期由人委託物件範圍與權限，Agent 以委託身份呼叫 MCP，MCP 內層再次校驗。執行時先查 Agent 自有權限，再查有效委託。
跨雲多 Agent 會出現類似 SSO 的統一身份體系嗎？
講者判斷會。未來人與 Agent 都是 IAM／SSO 的一等實體。跨廠商標準何時收斂仍未知，但企業應先為內部 Agent 建立唯一身份，再做聯邦對接。
Agent 可以建立另一個 Agent 嗎？
技術上可以，治理上仍不成熟。企業版暫不開放，先要求由人建立並指定責任人；未來必須先解決子 Agent 權限繼承、委託邊界與責任鏈。
如何確認遠端 Agent 的身份可信？
可借鑑可信容器：為 Agent 頒發與人、設備綁定的證書，換設備即失效；再以雙向認證疊加全域 ID 與權限，驗證設備、Agent 實例及其授權鏈。
深度解讀：治理的對象應從模型轉向 Task
Agent 不是 API Client
它會自主拆解、調用工具與生成子任務，因此需要自己的身份、生命週期與責任鏈。
Task 才承載業務目的
模型是供應商；Task 才能回答為何做、誰委託、花多少、產物在哪、出了問題誰負責。
可預期勝過最大自治
單 Leader、禁止 Worker 橫向通訊、顯式 HITL，是符合企業風險曲線的保守起點。
關鍵推論：控制面不是煞車，而是把未知風險轉成可見事件、把不可承諾的效果轉成可量測服務。治理越完整，企業反而越敢讓 Agent 進入生產。
每個 Agent：有身份、有邊界、有帳本、有審計。
每個 Task：有追蹤、有隔離、有歸因、有歸檔。
每個 Task：有追蹤、有隔離、有歸因、有歸檔。
Audio deep dive
Podcast｜企業級多 Agent 治理與協作
NotebookLM 繁體中文深度對談
以身份、權限、Task 隔離、可觀測與 FinOps，讓數字員工安全進入生產。
雙人對談 · 繁體中文 · 18:11