很多企业今天才开始正式评估AI产品。对这些公司来说，AI不是“原来已经有一套系统，现在补一层治理”的问题，而是第一次把一个会理解任务、会调用工具、会尝试执行动作的软件能力，引入到企业内部。这和过去采购CRM、ERP、OA不太一样。传统企业软件在交付时，通常已经有比较明确的功能边界。销售在CRM里录入客户、财务在ERP里处理单据、员工在OA里提交审批，系统按钮、表单字段、角色权限和审批流程都相对固定。企业可以围绕部门、岗位、角色、数据范围去做权限管理，也可以通过业务日志追踪谁在什么时间做了什么操作。Agent的麻烦在于，它不是一个功能固定的软件模块。员工用自然语言提出目标后，Agent可能自己拆解任务，选择工具，读取文件，访问接口，运行脚本，甚至把结果写回业务系统。它的执行路径不是完全预先写死的，运行时会根据上下文变化。企业真正要管的，也就不只是账号登录和菜单权限，而是Agent每一次“动手”的过程。它能不能读这个目录，能不能连这个网络，能不能调用这个工具，能不能写回系统，执行失败后有没有证据，这些都不能只靠员工判断，也不能等出事以后再补日志。所以企业引入Agent时，需要从一开始就考虑安全沙箱。它不是一个附加插件，而是Agent进入企业环境前需要提前设计的执行边界。Agent和传统软件的差异，在于执行不确定性CRM、ERP这类系统虽然也复杂，但复杂性主要在业务规则里。权限通常围绕人来设计，流程围绕单据来设计，系统动作大多对应明确的页面、按钮和接口。管理员可以提前定义销售能看哪些客户，财务能处理哪些凭证，主管能审批哪些单据。Agent的复杂性不一样。它的入口可能只是一句话，但后面可能拆