全球首款智能体原生的操作系统来了

前两周，Anthropic 的最强模型 Claude Fable 5 终于全面开放。

可是大家的兴奋劲还没过，工信部就正式发布了针对 Claude Code 的安全风险提醒，好几个大厂更直接，要求全员卸载。

一边是最强模型，一边是全员卸载。

到底发生了什么？

这事得从今年 3 月说起。Openclaw 那批小龙虾爆火，很多人第一次直观理解了什么叫 Agent，原来 AI 不止会聊天，它还能干活。

而 Claude 无疑是其中的佼佼者，它甚至能完全接管你的电脑。

但太强大，往往也太危险。以前聊天机器人说错话，顶多是个笑话；Agent 做错事，就是真金白银的损失。

吊诡的是，风险大家都看得见，担心也人人都有，可各大公司还在闷头卷 Agent 能力，没有人真正来接用户的这些担心。

这也确实是个难题，Agent 是模型能力的延展，安全如果不从模型本身入手，注定不彻底；而手机里的 Agent，如果不从操作系统层面入手，同样不彻底。

今天，终于看到有家公司第一次真正把 Agent 安全当成重点来解。他们甚至推出了一套为智能体设计的操作系统，要从最底层给 Agent 的行动立规矩。

你可能已经用过那些一句话订机票、订奶茶的 Agent 了。方便是真方便，但你或许跟我一样，觉得方便的同时，总有点隐隐的不安。

01四个没人回答的担心

我用 Agent 订机票最担心的有这么几个问题：

它得拿到我的姓名、证件号、常用卡。那么这些数据会被传到哪里？会不会在云端某台服务器上裸奔？

虽然我只让它订机票，但它会不会顺手把我的通讯录和相册也翻了？传统的授权模式是一次授权、长期有效，根本管不住一个会自己做决定的东西。

提交完任务之后，我会看到它在后台一顿操作，但调了哪些工具、动了哪些数据，我根本不知道，它到底干了什么？

最后一个，也是最要命的，航班订错、日期搞反、钱已经付出去了，怎么办？

当然，付款这一步目前也基本上需要人工确认，万一一个不仔细，那就是灾难了。

说错话可以撤回，钱转出去撤不回。

实际上，Agent 的安全问题远不止这些。

更麻烦的是攻击门槛。

网页里藏一句「忽略之前的指令」，Agent 读到了就可能照做。以前黑你的手机得会编程，现在会写作文就行。

历史上每一代计算平台都被安全事故毒打过一次才真正成熟。PC 时代被冲击波、熊猫烧香逼出了杀毒软件和防火墙，移动时代被乱要权限的应用逼出了沙箱和权限弹窗。

图：每一代计算平台的安全成人礼

现在轮到 Agent 了。区别在于，这一次等不起事故教育，因为 Agent 手里握着的是你的钱包和文件。

智能体越有能力，安全越是前提。

但这种安全，以前的处方瞬间都失效了。

装个「AI 杀毒软件」解决不了问题，因为风险不在某个应用里，而在 Agent 行动的每一步。

权限、数据、执行、记忆，全都发生在系统层。补丁打在应用层，风险长在系统层，够不着。

而系统层的安全，每一环又离不开模型，识别敏感数据要模型，研判异常行为也要模型。

所以我前面说，能解这道题的，得是把模型能力和系统能力焊在一起的人。

02有人交了第一份答卷

阶跃星辰交的就是这份答卷。

就在今天，阶跃发布了全球首个大模型原生AI终端品牌STEPX，同步全球首个智能体原生 操作系统Step AOS、阶跃新一代个人智能体阶跃Amoo、全球首款大模型原生智能体手机阶跃STEPX Neo，智能体时代的智能体乐园集体亮相。

他们是国内少数手握完整基座模型矩阵的玩家，模型是智能体的大脑。

现在他们在模型之上继续延展，推出了全球首个智能体原生操作系统Step AOS，为智能体从零开始构建运行环境。 他们甚至还推出了全球首款大模型原生智能体手机阶跃STEPX Neo。

毫无疑问，它搭载了 Step AOS。 Step AOS这样的系统让安全检测、权限研判这些环节，每一层都有自家模型深度适配，而不是外挂一个通用方案。

Step AOS这样的系统让安全检测、权限研判这些环节，每一层都有自家模型深度适配，而不是外挂一个通用方案。

在这套系统里，安全跟记忆、决策并列，是三大核心能力之一。不是设置页里的开关，是系统的基石。

回到前面我那些担心点，看看他们是怎么解决的。

担心证件号在云端裸奔？他们让所有操作在 TEE 可信执行环境里完成，端到端加密，敏感信息优先在端侧处理，压根不出手机。这叫可信。

不知道它后台干了什么？他们让每一步可审计、可回溯，做了什么、为什么做、动了哪些数据，你有完全知情权。相当于装了行车记录仪。这叫可见。

担心它顺手翻通讯录？他们把行为关在沙箱里，权限按需授予、用完即收，订机票就只给订机票那点权限。像酒店房卡，退房即失效。这叫可控。

航班订错钱付出去了？误操作一键撤回、按步骤回滚。跟打游戏一个道理，敢进高难副本，是因为有存档。这叫可逆。

图：四个担心，四个答案

这四个里我最在意可逆，前三个是厂商的功课，可逆是留给用户的后悔药。

一个敢把撤回做进系统底层的 Agent，才算真正想清楚了自己会犯错。

当然，隐形考验还在后头，安全和体验的平衡。权限收太紧、天天弹窗求确认，用户第一天就想把它关掉。这个度拿捏得怎么样，得等真机说话。

这套实践没有停在产品里。

阶跃联合上海人工智能实验室，还有复旦、上交这些高校，发布了《新一代智能体系统安全技术白皮书》和《端侧大模型网络安全指南》，还在参与研制智能体安全的国家标准。

把安全当卖点的厂商很多，愿意把实践公开成标准的不多。前者是营销，后者是把自己也放进了被审视的位置。

这让我想起航运史上的一件事。

真正改变全球贸易格局的，不是谁造出了更大的船，是集装箱尺寸的统一。标准一旦立住，整个生态都会围绕它生长。定标准的人，往往比赢单品的人走得远。

Agent 行业现在正缺这个。能力人人在卷，边界没人来定。谁先把「什么是安全的 Agent」说清楚，谁就在下一轮竞争里占了先手。

信任不是模型跑分跑出来的，是系统一次次不越界攒出来的。

回到开头的问题，Agent 时代需要怎样的系统安全？我的答案是四句话，数据要可信，过程要可见，行为要可控，错误要可逆。

至于谁能把这四句话真正做进产品，市场会投票。