让混乱肆虐，再把它收服：Agent 终将拥有自己的工号

TL;DR 太长不看版

• 安德森说 Agent 现在活得很乱，而乱恰恰说明它有用。有用所以禁不掉，没人管得住所以没人敢放手。
• 同一出戏，六十年里演了九遍：复印机、个人电脑、电子表格、邮件、开源软件、U 盘、智能手机、Slack、ChatGPT。员工先用起来，管理层慌一阵，最后加一层管控。真被禁掉的，一个都没有。
• 撞见影子 IT，先别问怎么禁。问员工拿它解决什么，这件事能不能搬进正规流程。
• 唯一走完全程的是编程。个人偷偷用补全，企业买带审计的版本，AI 写的代码进了 PR 流程。现在没人再问要不要用，只问怎么审。它能变成基础设施，靠的是被写进了别人的流程，不是自己变强了。
• 一个工具稳不稳，看四件事：有没有人管，有没有名分，有没有账本，有没有人负责。
• 拿这四条去量 Agent：一条有雏形，一条刚开了口子，两条还空着。开口子这条是最近的事——京东把数字员工定进 P3、占独立编制，阿里云的 AI 工号排到 28 号。所以 Agent 现在的位置更像 1983 年的 PC，不是 1995 年的网站。
• 按前九次的节奏，这一步大概不会拖过这个十年。
• Agent 最后会长成一张工牌：姓名、归属、能进哪些门、记在哪个账本上。

一段话，和四十三年前的一段旧报道

今天，大多数 Agent 活在一个混乱的地方。它们跑在聊天窗口里、个人账号里、一次性脚本里，攥着别人随手递给它们的凭证和数据。没有人决定过它们能碰什么，也没有人看得见它们做了什么。

说这话的是 Amjad Masad（阿姆贾德·马萨德），Replit 的 CEO。同一时间，网景创始人 Marc Andreessen（马克·安德森）写了篇文章回应，标题叫《让混乱肆虐，然后再把混乱收服》。

我第一次读到那段话，想起的是另一段更老的文字。1983 年 7 月，《华盛顿邮报》登过一篇报道，标题叫《游击队改变了办公室里的权力平衡》。里面引了一位咨询顾问的话：

有了一台个人电脑，有进取心的员工常常可以绕过公司的主机，自己算盈亏预测、自己追踪销售线索。更重要的是，个人电脑还能连上主机，把想要的信息抽出来。

如果一家公司不留神，个人电脑的扩散会催生出一批"影子"数据处理部门，在公司高层看不见的地方，做着公司的账。

四十三年过去了，"影子"这个词一点没变。

那篇报道里，"影子"形容的是员工自己搬进办公室的机器；今天，它形容的是员工自己开的 Agent。中间隔了四十三年、三代技术、无数次治理运动，句式几乎可以互换。

所以马萨德那段话扎人的地方，不在于它新。它扎人，是因为四十三年前有人用几乎一样的句子描述过同一件事——而那件事到现在还没解决。

混乱是需求信号，不是风险清单

企业看到影子 IT，第一反应是封。这个反应不算错——封是最省事的，也是最容易向老板交差的。

但从复印机到今天，六十年里禁止的战绩是零。

原因并不复杂。一个人在偷偷用一个东西，说明这个东西解决了他真实的问题。你封掉的不是一个工具，是他已经找到的解法。他要么转回手动，效率掉回原来的水平；要么换个更隐蔽的方式继续用。两种结果，公司都输。

真正该换的不是工具，是问题。从"怎么禁掉它"换成"他们在用它解决什么，这件事我们能不能做进正规流程"。

这就是"混乱是需求信号"的意思。它不是让你放任自流，是让你别在错误的问题上使劲。

马萨德说的那句"没有人决定过它们能碰什么，也没有人看得见它们做了什么"，正是一个标准的影子 IT 描述。而过去六十年，每一次影子 IT 的最后归宿都不是被清除，是被加了一层东西，一层专门管它的东西。

我把这层东西叫栖息地。它不是笼子，也不是完全放养。它是围栏。

六十年，九次混乱

下面九次，按时间顺序排。每一次看三件事：混乱长什么样，当时的人怕什么，最后靠什么把它收住。

一、复印机：第一个"绕开文印室"的东西

施乐的 914 在 1959 年推出，是第一台普通纸复印机。在这之前，一份文件要复制，得用复写纸，或者送去文印室用油印机。文印室和后来的邮件室一样，看着不起眼，实际上是企业控制信息流向的关口。

复印机把这个关口拆了。任何人站着就能印，想印多少印多少，不用申请。

企业当时担心两件事：机密文件印出去就收不回来，还有版权。最后收住它的是复印计数、水印和一套文印管理制度。不是不让你印，是印了要留痕。

二、个人电脑：采购单上写着"示波器"

1980 年代初，个人电脑进办公室的方式，跟今天的 ChatGPT 一模一样：员工自己带来，插上电，不管允不允许。

安德森在那篇文章里提到一个细节，说当时有人为了买电脑在采购单上撒谎，写成买示波器、买打字机，甚至写买一张办公桌。这符合当时的报销逻辑：设备科目对不上，就走办公用品。

IT 部门当然不高兴。前面引的那段 1983 年的报道，通篇就是这种不高兴。

最后收住它的，是 IT 资产管理制度、桌面标准、局域网。一台机器进了公司的资产台账，有了编号、有了负责人、有了统一的软件清单，它就不再是野的。

三、电子表格：看起来像真的

电子表格是个人电脑的第一个杀手级应用，也是第一个"非程序员做出的、看起来像正式业务产物的东西"。

Lotus 的创始人 Mitch Kapor（米奇·卡普尔），1984 年对科技记者 Steven Levy（史蒂文·利维）说过一段话，四十年后读，像是给今天的 Agent 写的：

你可以随手写一堆公式，它们互相依赖。等你看最终结果的时候，你根本不知道规则是什么，除非有人告诉你。

它出自利维那篇《A Spreadsheet Way of Knowledge》，最初发在 1984 年 11 月的《Harper’s》，Wired 在 2014 年重发过。

卡普尔说的是一个结构性缺陷：电子表格只显示结果，不显示规则。所以它可以做得极其漂亮，也可以错得极其彻底，而且从表面上分不出来。

收住它的东西今天还在用：单元格锁定、版本历史、公式标准化、输出审计。没有人因为表格会出错就禁用表格。公司做的是给表格加了一层能被检查的规矩。

四、邮件：绕过了邮件室

邮件之前，企业还会有一个物理的邮件室。它看起来不重要，实际上是企业里政治权重最高的职能之一：谁能联系到谁，谁能看、能抄、能传阅什么，全部从这里过。

邮件把这道关口拆了。理论上，企业里任何人都可以直接给任何人写信。

高管层遇到的是一场真实的权威危机。企业担心的三件事很具体：员工误转敏感信息，转给不该看的人，或者故意转出去。有一段时间，企业里认真讨论过"发邮件要不要先经经理批准"这个方案。

最后收住它的，是邮件网关、归档、保留策略。没有人禁止发邮件，公司做的是让每一封邮件都留得下、查得到。

五、开源软件：法务部门最后一个知道

2000 年代，开发者开始大量引入开源依赖。装一个包不需要任何人批准。一行命令，代码就进了产品。

法务部门往往是最后一个知道的。等他们知道的时候，产品里已经躺着几百个不同许可证的组件，其中可能有一两个是 GPL，那种会"传染"的许可证，一旦混进去，理论上整个产品都要跟着开源。

等到法务发现，事情已经发生完了。最后收住它的，是两类东西：工具上叫 SCA（软件成分分析），能扫出一个产品里到底有哪些开源组件、各是什么许可证；组织上叫 OSPO（开源项目办公室），专门有几个人负责这件事。

Google 在 2004 年就设了自己的开源办公室，是比较早的一家。到 2012 年，几家大公司凑在一起成立了 TODO Group，把这件事的做法沉淀成公共经验。

先有工具，再有岗位。工具让人能看见，岗位让人负责。

六、U 盘：最原始的封法

U 盘普及之后，一个几十克的东西就能把几万份文件带出门，而且不留痕迹。

早期的应对方式非常原始：在 BIOS 里把 USB 口关掉。这个做法今天听起来粗暴，但在当时是标准动作。很多企业采购的商用机型，BIOS 里就专门备着一个 USB 禁用选项。

后来才有 DLP（数据防泄漏）和端点管控。从"物理上不让你插"到"你可以插，但我看得见你拷了什么"，中间隔了好几年。这一步的转变很关键：从堵，到看。

七、智能手机：栖息地这个词的字面意思

2007 年 iPhone 出来之后，员工开始把私人手机带进公司，用来看工作邮件、存客户资料、拍会议白板。

企业最怕的场景很具体：手机丢了，公司的数据跟着一起丢。最初的应对也是禁，不准用私人设备收公司邮件。没撑多久就撑不住了，因为员工根本不接受两部手机。

真正的解法是 MDM（移动设备管理），后来演化成 EMM。它的设计思路是反过来的。它不是把你的手机收归公司管，是在你的手机里划出一块公司能管的区域。邮件、通讯录、内部应用装在这块区域里，公司可以远程擦除这块区域，但碰不到你的照片和微信。

这就是"栖息地"这三个字的字面意思。不是你归我管，是我划一块地，你在我这块地里按我的规矩来。地外面，还是你的。

八、Slack：同一个故事，隔了二十年

Slack 在 2013 年发布，进公司的方式和邮件几乎一模一样：团队自己下载、自己建 workspace、自己拉人，绕过 IT 批准的那个即时通讯工具。

理由也很朴素：它好用，而且不用等审批。公司后来发现的问题，和当年邮件室的故事如出一辙：消息散在几十个 workspace 里，无法归档，出了事无法取证。一家上市公司如果在 Slack 里讨论过某些事，监管问起来，你拿不出东西。收住它的是 eDiscovery、DLP、保留策略，一套专门为"消息需要被当作证据"设计的东西。

同一个故事，隔了二十年，换了个软件，又完整演了一遍。这不是巧合，这是模式。

九、ChatGPT：连最先进的公司也先选了禁

2023 年 4 月，三星的半导体部门连续出了三起事：有工程师把有问题的源代码整段贴进 ChatGPT 问怎么改；有人把良率相关的代码贴进去要求优化；有人把会议录音转成文字贴进去让它写纪要。

5 月 1 日起，三星在公司设备上禁用了生成式 AI 工具。内部调查里，65% 的员工认为这类工具存在安全风险。

这个案例的价值在于它足够近。2023 年，全世界最懂半导体的公司之一，面对一个新工具的第一反应，还是"禁"。

然后呢？两年之后，行业里讨论的已经不是要不要用，是怎么管。企业版、租户隔离、不拿数据训练、DLP 拦敏感内容。

从禁到管，走了两年。这个速度，比前面八次都快。

把这九个例子放在一起看

前面九次，混乱都发生在一个"事后可以查"的世界里。PC 进了谁的桌、表格是谁做的、邮件是谁发的、U 盘拷了什么、手机里存了什么——都能追到一个人。而最后这一格空着，不是我偷懒——Agent 是第一个"自己会动手"的东西：它不只是被看见，它会做事。所以它需要的栖息地，与前面都不一样。

唯一的例外：编程已经走完了全程

编程是另一个案例，进度比 Agent 快得多。它已经走完了全程，可以当作模板。AI 进编程，大致分了三个阶段。

第一阶段，2021 年前后：个人偷偷用。开发者在自己机器上装个插件，让 AI 补全代码。公司的态度和 1983 年面对 PC 时一模一样：这东西会不会把代码传出去？训练数据里有没有别人的许可证代码？

第二阶段，2023 年前后：企业开始买。买的是带审计、带引用过滤、带策略控制的版本。卖点也跟着变了，从"补全得多准"变成"能不能管住"。

第三阶段，2024 到 2026 年：进流程。AI 生成的代码开始走正常的 PR 审查，出现了统计 AI 参与度的指标，也出现了专门针对 AI 代码的审查动作。

到这一步，问题就变了。

现在没有一个正经的工程团队还在问"要不要用 AI 写代码"。他们只问"怎么审、怎么管、出了问题怎么回滚"。

这就是"再也无法离开"的具体样子。不是技术上离不开——技术上当然可以关掉。是流程里已经给它留了位置：代码评审的清单里有它，发布流程里有它，事故复盘的模板里有它。你要把它拿掉，得重写流程。

一个东西变成基础设施的标志，不是它变得不可替代，是它被写进了别人的流程里。Agent 要走到这一步，缺的就是这套位置。

四个标志

把历史这些例子摊开，能抽出四条共同点（常识）。

第一，有没有人管。不是有没有人禁止它，是有没有一个专门管它的东西。MDM 之于 iPhone，DLP 之于 U 盘，SCA 之于开源依赖。这个东西存在，技术就有了边界。

第二，有没有名分。它是不是企业身份体系里的一员。SaaS 进公司的标志，不是采购合同签了，是它接进了 SSO——员工用公司账号登录，离职自动失效。在这之前，它用的是某个员工的私人账号，那个人一走，一切失联。

第三，有没有账本。它做过什么，事后能不能查。邮件归档、Slack 的 eDiscovery，都是账本。账本的意义不是防着谁，是出事的时候能说清楚。

第四，有没有人负责。有没有一个明确的岗位和一套标准动作。IT 管理员、开源办公室、安全运营中心，都是这么长出来的。

这四条看起来分散，其实是同一件事：把一个"东西"，变成一个"主体"。

物品不需要身份，主体需要。复印机不需要工号，员工需要。一台机器坏了，你找维修；一个人做错了，你找他本人。技术从工具变成基础设施的过程，本质就是它从"物品"变成"主体"的过程。

拿这四条去量 Agent，结果很清楚。有没有人管？有雏形。各种 Agent 网关、权限代理在冒出来，但还没有一个像 MDM 那样的标准答案。

有没有名分？这一条刚刚松动，但只在少数公司内部。Agent 普遍用的还是"某人给的凭证"，它到底是那个人的代理，还是一个独立主体？权限该挂在谁名下？人离职了它怎么办？这些问题业界还在吵。不过在几家大公司里，答案已经开始出现，后面单独说。

有没有账本？刚起步。Agent 的可观测性工具在出现，但还没有像邮件归档那样成为默认动作。

有没有人负责？基本是零。"Agent 管理员"这个岗位还不存在，也没有公认的操作手册。

四条里，一条有雏形，一条刚开了口子，两条还是空的。所以 Agent 现在不在 1995 年，在 1983 年。混乱已经发生，栖息地还没建起来。

它什么时候会稳定

先粗算一下历史上花了多久。PC 从进办公室到资产管理成为标配，大约十年。U 盘从普及到 DLP 成为采购项，四年左右。Slack 从流行到企业合规补齐，五年左右。

越靠近软件，收服越快。因为软件的管控层也是软件，改起来比换硬件快得多。Agent 是软件里的软件。

所以时间不是关键变量，条件才是。

第一，身份问题解决。Agent 要有自己的身份，不再借用人的凭证。这是最硬的一条，因为它一次性解决三件事：谁能用它、它做了什么、出了事找谁。在这条没解决之前，其他三条都是空转。你没法审计一个没有身份的东西，也没法让一个人为一个不属于任何人的东西负责。

第二，出一次足够大的事故。这句话不好听，但历史就是这么走的。1984 年，一家公司因为一张有错的财务模型表在并购里损失了数百万美元，几位高管因此被辞退，原始报道在 1984 年 8 月的《华尔街日报》。三星那三起泄密之后，企业才开始认真谈 AI 的数据边界。

治理不是被远见推动的，是被事故推动的。

我承认这条让人不舒服。但如果前面九次里有一次是靠远见收住的，我很想听听是哪一次。

第三，管控层变成入场券。不是"我们有 MDM"能加分，是"你没有 MDM 就不能买手机"。等到"没有 Agent 管控层就不能上 Agent"成为共识，它才算稳定。这个转变通常发生得很快，而且往往是采购部门推动的，不是技术部门。

国内已经走到哪一步

这些条件听着像推演。但最难的那一条，国内已经有公司做了一半，而且就是最近一个月的事。

10 月底，据媒体报道，京东在财务 CFO 体系做了一次小范围试点：把 AI 数字员工统一纳入 P3 职级序列，并且占用独立于人类员工的编制。

P3 在京东是个什么位置？2024 年 11 月，京东把原来的 M/P/T/S 序列合并成 P 序列，P3 大致是校招应届生进来的第一档。也就是说，这批数字员工拿到的是一个和初级员工平行、但编制通道完全独立的正式位置。

推动这件事的不是战略部门，是产出。CFO 体系此前已经部署了多个数字员工 Agent，其中一些的表现、以及在直属 leader 那里的评价，已经超过了实习生。定职级是对既成事实的追认，不是对未来的下注。京东内部同时跑着近 4 万个 AI 智能体，覆盖采销、物流、客服、研发，规模早就到了必须有制度的时候。

但边界很清楚。范围小得可怜，只在 CFO 体系，没有向其他业务线推开；职级对应的职责边界、薪酬带宽、绩效怎么评、不合格怎么汰换，也全部没有公开，京东也没有回应。名分给了，规矩还没写完。

更早的版本在阿里云。那边从 2025 年起已经有 28 位 AI 数字员工走完了"转正"：工号以 AI 开头——AI001、AI002 这样往下排——有花名、有归属、有明确的汇报关系，在人力资源系统里和从外部招进来的人放在一起。

上岗之前还要过业务主管和 HRG 的双重审核，回答三个问题：释放了多少人力，效率提升多少，业务结果改善多少。答不上来就不能转正。

放在一起看，"名分"这一条在中国公司里已经不是假设了。从有工号到有职级，这条路上已经有人走完了第一段，而且两家都不是拿它做公关，是拿它做人事。

所以，什么时候

按前面九次的节奏，这一步大概不会拖过这个十年。

这是一个猜测，不是推算。支撑它的是前面那九次，每一次都是产出在先、制度在后，而且间隔一次比一次短。PC 十年，U 盘四年，Slack 五年，从禁掉 ChatGPT 到认真谈怎么管，只有两年。所以 Agent 这一步，没有理由比它们更慢。

如果你想自己盯着看，有三个信号。

• 企业采购 Agent 时，第一个问题从"它能干什么"变成"它能碰什么"。
• Agent 的权限清单开始需要像系统权限申请表一样签字。
• 出现第一个"Agent 责任人"的岗位描述，不是"AI 负责人"，是具体到"负责管理本公司 XX 个 Agent 的权限和行为"。

等它变成采购的默认动作，后面两条也就不远了。

写在最后：工号

一个东西有了工号，就有了四件事：名分、权限、账本、责任人。这四件事齐了，它才算是公司的一部分，而不是公司里的一个现象。

这一步不是纯想象。阿里云的工号排到了 AI028，京东的数字员工有了 P3。但两家都只开了一小片口子，规矩没写完，别处也还没跟上。它们证明的不是"Agent 已经稳定了"，是"这件事真的会发生"。

Agent 今天还活在混乱里，跑在聊天窗口，用着别人给的凭证，没人知道它能碰什么，也没人看得见它做过什么。这些话是马萨德说的，说的是现状，不是判决。

它变成基础设施的那天，会有一张工牌。上面写着它的名字、它的归属、它能进哪些门、它做过的每一件事记在哪本账上。

这件事的难点不在技术。技术那一半，身份、权限、审计，都在解决，而且解决得比想象中快。

难的是另一半：你得先承认它是个能干活的角色，才可能给它定规矩。现在大多数公司卡在中间，既不敢放，也不会管，于是它就一直在那个状态里待着。有用，但不成体系；到处都在，但哪里都不算数。

混乱会一直在，因为混乱是需求在说话。六十年来每一次都是这样。

但需求最后都会长出制度。不是因为制度更高明，是因为没有制度，需求就走不远。

Agent 今天活在混乱里，明天会有一张工牌。

不是因为它终于变得可信了。是因为我们终于决定，把它当同事看。

参考来源

1. Let Chaos Reign, and Then Rein In Chaos / Marc Andreessen / a16z.news，2026-10-26 / https://www.a16z.news/p/let-chaos-reign-and-then-rein-in
2. The Rise of the Self-Driving Company / Amjad Masad、Scott Kennedy / Replit Blog，2026-10-26 / https://replit.com/blog/self-driving-company
3. Guerrillas Shift Power Balance In The Office / The Washington Post，1983-07-17 / https://www.washingtonpost.com/archive/business/1983/07/17/guerrillas-shift-power-balance-in-the-office/e4a26a77-0100-4b00-b832-18310481719d/
4. A Spreadsheet Way of Knowledge / Steven Levy / 原载 Harper’s 1984 年 11 月号，Wired 2014-10 重发 / https://www.wired.com/2014/10/a-spreadsheet-way-of-knowledge/
5. Only the Paranoid Survive / Andrew S. Grove / 1996
6. TODO Group 官方仓库（OSPO 社区与最佳实践）/ https://github.com/todogroup
7. Samsung bans AI chatbots after leak / The Korea Herald，2023-05 / https://m.koreaherald.com/article/3118116
8. Samsung bans employee use of ChatGPT after reported data leak / The Hill，2023-05 / https://thehill.com/business/3983581-samsung-bans-employee-use-of-chatgpt-after-reported-data-leak/
9. 京东给 AI 定职级：数字员工统一 P3、独占 HC，CFO 体系先行 / 凤凰网科技，2026-10-29 / https://original.ifeng.com/c/8xcTzJ5cuNX
10. CFO 体系先行：网传京东给 AI 员工定职级 / 同花顺财经，2026-10-30 / https://m.10jqka.com.cn/20261030/c681278216.shtml
11. 阿里云 CIO 谈数字人的应用（28 位数字员工、AI 工号与转正审核）/ 博客园转载蒋林泉分享，2025 / https://www.cnblogs.com/zourui4271/p/19507281