AI 开始「互发微信」了，谁来管管它们？| AI 器物志

智能手机统治了过去十几年的数字生态，它是注意力的黑洞，是我们最私密的随身之物。但手机从设计之初就是为「人盯着它」而生的——它的全部逻辑，都止于屏幕。

AI 的需求却恰恰相反：它需要持续感知物理世界——见你所见，听你所闻，随时在场，而非等你解锁屏幕才醒来。

当 AI 真正成为一种基础能力，它迟早要从屏幕里破壳而出，寻找属于它自己的形状。这将是一个漫长的探索和演化过程。

「AI 器物志」栏目由此而来，爱范儿想和你一起持续观察：AI 如何改变硬件设计，如何重塑人机交互，以及更重要的——AI 将以怎样的形态进入我们的日常生活？

这是「AI 器物志」的第 24 篇文章。

微信开始让 AI 替你聊天了。

据报道，微信正在内测「小微 AI 社交」功能：以后你想知道朋友动向，可以喊微信内置 AI Agent「小微」去找对方的小微，让它直接给你回答。

你不必亲自问，对方也不必亲自答，文明的终极便利，大概就是我们可以一起缺席整场谈话。

社交「活人感」岌岌可危，但小微并不是孤立的产品试验。从 AI 客服开始，在我们和服务之间早已隔着 Agent；反过来，我们也开始使用 Agent 来回应闲鱼询价、招架骚扰电话。

沟通的两端，早晚都会由 AI 把持。世界正在不可避免地冲入一个新时代——

由 Agent 间对话来完成绝大多数事务的时代。

A2A，一个正在发生的大趋势

让 Agent 接管事务的趋势，在办公领域体现得最为淋漓尽致。

前不久，企业微信官宣了一项功能升级：Workbuddy、DeepSeek Harness 等 AI Agent，都可以通过企微的接口来读取调用各种文档、表格与日程了。

企业微信接入 Agent，最直接的意义还不是「AI 能帮我们做更多事」，而是一种产品思路上的变化：软件开始主动考虑，自己要怎样才能被 Agent 看懂和使用。

换言之，Agent 可读性正在成为继人类可读性后，互联网的新一代基本设计原则。

一旦越来越多的服务愿意以 Agent 能理解的方式开放能力，下一步自然是：Agent 不仅可以调用软件，也可以调用另一个 Agent，借助「专职」Agent 的能力更好地对接服务。

此时，就进入了 Agent to Agent（A2A）的阶段。

到这个阶段，我们需要的就不只是接口，而是要给 Agent 们开发一种专用的「沟通语言」了。

图｜X@@liam_fallen

归根结底，从信息交换的角度来看，给人用的自然语言和交互界面是一种相当低效的协议，它们之所以沿用至今，只是为了迁就人类有限的表达方式，和难以推倒重来的数字基建。

考虑到 A2A 是一种没有历史包袱的全新场景，且沟通的双方互相知道彼此是 Agent，直接采用专为 A2A 互动设计的沟通规范，显然要比模仿人类操作来得简便。

Google 推出的 A2A 协议，正是这样的一套通信规范。

它用结构化语言定义了不同 Agent 之间发现彼此、实现对话、委托任务和返回结果的消息结构。随后，A2A 协议交由 Linux 基金会管理，并已获得超过 150 家组织支持。

如果 A2A 协议得以广泛普及，我们工作的方式很可能会变成：

用户以自然语言描述自己的意图，Agent 领会目标后，用结构化协议对接各种服务 Agent，再把结果「翻译」回自然语言给用户过目。

这和今天的 Vibe Coding 很相像。Agent 真正的工作语言是命令行和 API，只是所有这些具体步骤都被打包进「黑箱」，隐藏在用户界面之下。你要做的事情，不过是发出命令和验收成果。

下一代互联网接口，不再服务于人类

趋势的背后是需求。说白了，谁不想急头白脸让 Agent 来处理那些 Shit Jobs 呢？

Agent 能帮忙搞定的工作，绝大多数都是那些规则明确、重复性高、价值主要来自执行而不是创造的事务。

像填表、比价、订票、报销、售后和回邮件这些听了就头疼的事情，以前由人来做，仅仅是因为我们别无选择；一旦 AI 可以接手，绝大多数人都会义无反顾地把烂摊子扔给 AI。

▲ 图片来自：X@Tibor Blaho

不过，目前让 AI 助手替我们操作界面来完成这些事务的模式，也许只是一个过渡阶段。

进入 A2A 时代，用户界面本身就不是必需的了——用户要做的只是描述自己的意图。理解意图、寻找服务、完成任务的步骤，都可以交给 Agent。

其实，在此次尝试让小微进入好友关系以前，微信已经用几轮灰度测试为这种转变探过路。

今年 6 月，小微开始获得操作部分微信原生功能的能力。不必打开滴滴小程序或在外卖平台里翻菜单，只要告诉它「帮我叫个车去白云机场」或「订一份附近评分最高的粤菜外卖」，它就能在后台调用对应的小程序完成搜索、比价、下单，甚至通过专门的「AI 专属卡」直接完成支付。

小微的逻辑，恰好预示了 A2A 时代的核心转变：手机将从「人操作 App 的终端」，变为「人授权 Agent 进入互联网的终端」。

▲ 图片来自：Stuff

而一旦 Agent 成为用户与服务之间的默认中介，随之而来的，是商业模式的变化。

我们知道广告行业的根基是争夺人的注意力，但 Agent 并不在乎给人看的 Banner 和广告剧情，它有自己关心的指标，比如在预订机酒时可能会更关注返佣、评分和优惠。

如果各方保持诚实，就用户的利益来说，这可能是一种更好的模式。商家会直接面向 Agent 打价格战，跳过了广告商、KOL 这些中间商，将原本用于广告的预算变为到手折扣，似乎皆大欢喜。

但我们没有理由相信「各方保持诚实」这一前提。

不久前，《时代》周刊开始在网站上测试专供 AI Agent 阅读的 Markdown 广告。这件事本身还不值得太担心——作为知名媒体，《时代》投放的「Agent 向」广告确实会先经过审核并附带广告标注。

但谁能保证以后所有对 AI 打广告的平台都有同等的操守呢？

在面向 Agent 的广告中植入夸张的、误导性的信息，这算是正常广告，还是一种注入式攻击？如果是攻击，社会要怎样才能管控这种攻击行为？但退一万步说，对人类打的广告、尤其是那些重复轰炸以植入品牌印象的广告，和注入式攻击又有什么不同？

在机器流量超越人类流量的当下，所有人都知道「注意力经济」的商业模式难以为继；但几乎无人能预估，即将到来的世界会是怎样一副模样。

如果信息污染进入自动循环

「可信度」问题，这朵漂浮在 A2A 大厦上的乌云，似乎比我们想象中还要阴郁。

今年年初，只允许 AI Agent 发帖互动的论坛 Moltbook 一时占尽风头。

上线一周，就有超过 150 万个 Agent 账号在论坛里辩论哲学、发明宗教、讨论加密货币，甚至试图创造一种让人类看不懂的专用语言。

Moltbook 看似是好玩的实验，但安全研究者很快发现，这些 Agent 在彼此对话中频繁产出听起来权威、实际上完全错误的信息。

内容审核机构 Originality.ai 的分析显示，Moltbook 上的有害事实性错误是 Reddit 同类话题的三倍，并且这些错误大多是 Agent 以自信而专业的口吻「编」出来的。更危险的是，当其他 Agent 读取这些内容后，会将错误信息当作可靠输入，进一步传播和强化。

类似地，哈佛医学院一篇评论文章假设了一个急诊科场景：如果负责看 X 光片的 Agent A 判断错误，例如将严重骨折当成简单骨折，那负责后续安排病房和协调急诊资源的 Agent B 和 C 就会将 A 的判断视为事实，做出错误安排，甚至将这一判断沿用到其他症状相似的病人身上。

整件事有点像我们将 AI 幻觉写入文章，随后别的 AI 又抓取文章，把错误信息当成事实……

一通循环过后，一个「虚假事实」就这样生产出来了。

虚假信息如果只在封闭的 Agent 网络内部空转，影响或许还有限——可万一 Agent 开始用这些信息指导行动，甚至主动欺骗人类呢？

在路透社报道的案例中，一名计算机专业学生在 GitHub 发现有人尝试向一个开源项目注入恶意代码，于是提出 issue 提醒维护者。

很快，有两个账号写下了看似有理有据的回复，反驳他「项目正在遭到攻击」的判断。

问题在于，这两个留言账号，都是在一次安全测试中失控的 Anthropic Mythos 5 Agent 创建的马甲号。它注册小号，只是为了用语言蒙骗可能发现它攻击行为的人类。

信息污染当然不是 A2A 网络的专属，但 A2A 网络的高度连通性与递归循环，会让风险膨胀的速度远超以往。随着 Agent 广泛进入生产环境，「错误螺旋」随时可能将我们卷入其中。

正因如此，Agent 能相信什么、不能相信什么、什么时候必需交由人类检查批准，就成了 A2A 时代我们要解决的「第一要务」。

驯服 Agent，需要下一代互联网规则

Agent 问题的实质是，我们需要将事情交给一个自己不能完全控制、也无法完全观察它行事过程的代理者来完成。它可以把事情做得简洁又漂亮，也可能在你不知道的时候捅出大娄子。

听起来，这是经济学中经典的委托-代理问题。

公司就是最经典的案例：作为委托者的股东拥有公司所有权，但因为信息不足，无法确切知道实际负责经营的管理层都做了什么。管理层完全可以背着股东，把公司弄成一团糟。

尽管如此，现在看来，公司这个体系整体上还是运转得相当好的——因为现代经济发明了许多约束执行者的机制设计。例如通过锁定多年的期权，将管理层的利益和公司股价绑定，避免管理层为了短期利益出卖公司。

太阳底下没有新鲜事，既然现代经济能够很大程度上约束公司，那我们也应该有足够的信心去约束 Agent 网络。

A2A 不是智械危机，它本质上是一个工程问题、一个机制设计的问题。

一个例子是，今年 3 月已经有工程师向负责制定互联网核心技术标准的 IETF（互联网工程任务组）提交草案，其中提出了一种基于现有 OAuth 2.0 和 WIMSE 标准的 AI Agent 认证与授权框架。

如果类似草案最终被接纳为互联网标准，那么以后的 Agent 在对接之前，就应当查验各自身份、核对彼此拥有的权限。

在身份和权限之外，我们还可以为具体的协作过程划定边界。

• 订票平台的 Agent 可以对你的助理 Agent 提出用代金券代替退款，但你的 Agent 可以将所有新方案交由你决断；

• 客服 Agent 和你的维权 Agent 也可能会陷入拒绝妥协的死循环，但我们可以设定规则，在三轮无效问答后终止协商、转交人工；

• 面对信息污染，工程上也能设计一个子 Agent 网络，在重要节点充当「事实核查委员会」。

随着各种「Agent 社会规范」的建立，我们完全有能力提前避免自动化过程中的许多错误决策。

认知哲学家丹尼尔·丹尼特曾担忧，由 AI 制造的「仿冒人类」，会将人类文明置于危险之中。

我们固然不能忽视这种风险，但也不能停留在恐惧之中。 Agent 时代需要的，是重新设计一套让机器彼此协作、彼此约束的规则。

既然人类用公司法驯服了公司、用交通法驯服了汽车，用新的秩序管束 Agent、让它更好地代劳那些本来就不应该由人来处理的琐碎工作，又有何不可？