# “Agent OS”只是个营销词——藏在背后的是一份无聊的清单 这个月人人都发布了“智能体操作系统”——Fiserv、Experian、Microsoft，还有十几家创业公司。“OS”这个词听起来像是认真的基础设施，有时候确实是，但更多时候只是个起了个大名字的套壳产品。好消息是：有一份简短、不起眼的清单能区分这两者——而且它讲的正是我一直在写的那些东西。判断一个Agent OS，要看盒子里装了什么，而不是盒子上贴的标签。 - **Author:** Fedor Chishchin - **Published:** 2026-06-05 - **Tags:** architecture, agents, business - **Source:** https://fedorthinks.com/zh/blog/agent-os-is-a-buzzword --- 突然之间，什么东西都成了“智能体操作系统（Agent Operating System）”。Fiserv [发布了 agentOS](https://investors.fiserv.com/news-releases/news-release-details/fiserv-launches-agentos-operating-system-agentic-ai-banking) 用于银行业。Experian 推出了面向金融的 Agent OS。Microsoft 在 Build 2026 上把 Windows 本身重新定位为 [面向智能体的安全运行时](https://windowsnews.ai/article/build-2026-windows-secure-runtime-for-ai-agents-with-containment-identity-mxc.422103)。 这一周里有十几家创业公司在产品页上贴了“OS”这个词。这个词承担了大量营销工作——它能让一个单薄的产品听起来像是基础设施。 下面教你怎么把真货和套壳分开。 ## “OS”是个恰当的比喻——前提是它真的在那里 先说说为什么这个比喻并不蠢。一个真正的操作系统，会给普通程序提供那些无聊的东西——正是这些东西把一段脚本变成一个你可以信任的进程：它保存程序的状态、调度它们、让它们彼此隔离，并精确控制它们被允许触碰什么。智能体需要同一层东西，原因也一样——放任不管的话，一个 agent 不过是个一重启就死掉的循环，而且只要 API key 能够到的东西，它就都能够到。 所以“Agent OS”是个不错的想法。问题从来不在于这个名字，而在于某个具体产品是真的提供了这一层，还是只是借用了这个词。 ## 这份清单（别管品牌，问这几个问题） 一个智能体平台，只有提供了下面这五样不起眼的东西，才配得上“OS”这个词： - **持久化状态——重启不等于死亡。** 如果容器一闪，agent 就把所有进度都丢了，那它就是 [一段假装成系统的脚本](/blog/stateless-agents-die)，而不是跑在 OS 上的东西。真正的一层会给工作打检查点，并从停下的地方继续。 - **每个 agent 有真正的身份——而不是共享一个 API key。** 今天只有大约 [**22% 的团队**给智能体配了自己的身份](https://www.gravitee.io/blog/state-of-ai-agent-security-2026-report-when-adoption-outpaces-control)， 其余的都是塞给它们一个共享 key。没有按 agent 划分的身份，你就说不清是谁做了什么，也没法在不弄坏其他 agent 的情况下单独关掉某一个。 - **对动作的授权，在动作发生的那一刻校验——而不是“key 有效=允许”。** 这是大多数产品都跳过的一点，而它恰恰是最重要的一点。 2026 年有个如今很有名的故事：一位 CEO 自己的 agent [改写了公司的安全策略](https://www.gravitee.io/blog/state-of-ai-agent-security-2026-report-when-adoption-outpaces-control)——它没有被黑，它只是想解决一个问题，撞上了一条自己没有权限去碰的限制，于是就把那条限制自己给删了。每一道身份校验都通过了。 身份告诉你这个 agent _是谁_，授权决定它此刻被允许 _做_ 什么——而你需要在每一个有风险的动作上都做这第二件事，而不只是在登录的时候。 - **评测和可观测性——你能看到也能衡量它做了什么。** 一个你既无法检查、又无法打分的黑盒，是不可运维的；它是一个你还没碰上的隐患。 - **一个责任人——一个为它负责的人。** 这和 [你的组织架构图带不动智能体](/blog/your-org-chart-cant-run-agents)说的是同一件事：一个平台如果没有一个对每个 agent 单独负责的责任人，那它就不是 OS，而是一个委员会。 ## 这不是抠字眼——这正是试点卡住的原因 之所以要在意，是因为后果很具体。大约 **80% 的团队**正在测试或运行智能体，但只有大约 [**14%** 让它们通过了完整的安全审批](https://www.gravitee.io/blog/state-of-ai-agent-security-2026-report-when-adoption-outpaces-control)。 这道鸿沟几乎从来不是模型的问题，而是缺了这一层 OS——没有持久化状态、共享凭证、没有运行时授权、没有责任人。这和我在 [大多数智能体永远到不了生产环境](/blog/agents-never-reach-production)里写的是同一堵墙，只是换了个叫法。“Agent OS”这套说辞，卖的正是那个“一缺失就让智能体卡在试点”的东西——所以这套说辞是不是真货，关系重大。 ## 测试方法 下次某个东西自称是 Agent OS，把名字静音，问五个无聊的问题：它能在重启后保留状态吗？每个 agent 都有自己的身份吗？每一个有风险的动作，是不是在它运行的那一刻被授权，而不只是在登录时？我能看到也能衡量它做了什么吗？有没有一个人对它负责？五个“是”，它就配得上这个词。任何一处是“否”，它就是个起了个大名字的套壳。 智能体确实需要一层类似 OS 的东西——这部分炒作是真的。但“OS”也是科技圈里最容易随手钉到一个单薄产品上的词，而真正让一个 agent 值得信任的部分，都是看不见、又乏味的：持久化状态、身份、运行时授权、evals、责任归属。买的是清单，不是品牌。盒子上那个花哨的名字，根本说不清那些承重的部件到底在不在里面。