计算机使用代理在 IT 服务交付中的接入与权责边界

这个话题同时涉及企业 IT 服务、代理技术和责任归属，我先联网检索最新实践、标准与责任认定口径。

已有材料足够扎实，我再补两组细节：合同条款和国内合规口径。

核实完成：国内外都已出台针对智能体部署的明确规范，权责口径高度一致。下面按你的固定结构成文。

计算机使用代理接入 IT 服务交付：权限给到哪一步，责任就写到哪一条

计算机使用代理（CUA，Computer-Use Agent）进入 IT 服务交付，已经是正在发生的事：它能看屏幕、点按钮、填表单、翻页，在没有 API 的老系统上干活，处理的正是工单录入、账号开通、批量配置、日志巡检、报表下载这些最耗人力的活。但决定它能不能上生产线的，不是 "能不能干"，而是两个更硬的问题 —— 权限给到哪一步、出事谁负责。判断标准可以缩成三句话：接入侧按操作风险分级，读操作可以放开、低风险写操作用白名单、高风险与不可逆动作必须二次确认或直接阻断；权责侧遵循 "控制权与责任对齐"，谁有实际权限做这个决定，谁承担后果，代理和模型供应商不背这个锅；证据侧必须记录 "为什么做" 而不只是 "做了什么"，否则出事时拿不出 "合理监督" 的证明。这套口径在国内外几乎完全一致：中国《智能体规范应用与创新发展实施意见》明确 "确保用户对智能体自主决策享有知情权和最终决策权，智能体执行操作不得超出用户授权范围"；欧盟《AI 法案》第 26 条给部署方列了人工监督、日志留存六个月、事件上报等九项义务，违规最高罚 1500 万欧元或全球营收 3%；新加坡 IMDA 在 2026 年 1 月 22 日发布全球首个专门针对代理式 AI 的治理框架，也把责任落在部署组织身上。所以这篇文章要拆的不是技术能不能跑通，而是从场景分级、接入形态、授权阶梯、合同条款到留痕字段的一整条边界线。中央网络安全和信息化委员会办公室中华人民共和国国家互联网信息办公室Cloud Security Alliance Lab Space

一、先分清：CUA 在 IT 服务交付里到底干什么

IT 服务交付的活儿，大致可以按 "操作是否可逆" 分成四档，CUA 的适配度差别很大。

场景	典型任务	可逆性	现有可靠性（读、写任务）	建议权限档位
巡检与读取	登录老系统查状态、抄配置、导出报表、比对资产	完全可逆	读任务约 80%—90%	L1 只读，可放开
标准化录入	工单填报、发票信息录入、账号信息补录	可回退（有撤销 / 改单机制）	表单填写约 70%—85%	L2 低风险写，白名单＋抽检
多步事务	开通账号、变更权限、批量配置下发、跨系统对账	部分不可逆	多步写操作约 50%—70%	L3 高风险写，二次确认＋双人复核
不可逆操作	停服务、删数据、改防火墙、改密钥、支付转账	不可逆	桌面自动化整体约 40%—65%	L4 禁止或人工执行

这里的可靠性区间来自 2026 年上半年的生产实践统计，和厂商的榜单成绩不是一回事 ——OSWorld、WebVoyager 这类基准主要测 "读任务" 和 "能不能完成任务"，对 "写任务失败会不会造成业务损失" 覆盖很有限，而且分数对步数预算高度敏感。某国产厂商自述在 OSWorld 上做到 90.2% 的任务成功率（厂商口径，2026 年 7 月），这可以作为选型参考，但不能直接当成 "生产可用率"。

二、接入形态决定 "边界画在哪"

接入方式不是纯技术选择，它直接决定了责任主体和数据边界。

形态	典型做法	优势	边界与风险
SaaS 云端	厂商云侧调度＋轻客户端	上线快、零运维	数据出域，需确认等保等级、传输加密、多租户隔离
私有化部署	模型、编排、知识库全在企业内	数据不出域、可满足高合规要求	部署周期长，需自建算力与运维
一体机	算力＋模型＋平台预集成	交付即上线、天然 "数据不出机房"	需确认后续模型可替换、场景可扩展
桌面客户端	单机运行，API＋GUI 双轨	最轻量，适合部门级试点	终端分散，资产登记与统一管控难

这一层的判断标准很朴素：能在企业内闭环的，优先私有化或一体机；只是做验证的，用 SaaS 或客户端先跑通一个场景。中国信通院 2026 年 5 月发布的《云上智能体服务网络和数据安全自律公约（2026 版）》给出了一组很有说服力的背景数据：截至 2026 年 4 月 15 日，我国互联网暴露的 OpenClaw 实例超 14 万个，超 60% 部署在云平台，10% 以上存在高危漏洞，至少 600 个实例疑似安装恶意技能。这些数字说明 "接入" 本身就是最大的风险敞口，而不是模型能力不够。

三、权限边界：四级授权阶梯

把权限一次给到位，是这类项目最常见的事故起点。可执行的划法是四级，每级对应不同的技术控制。

档位	授权范围	技术控制	人工介入
L1 只读	指定系统的查看、导出	域 / 应用允许列表、HTTPS 强制、只读账号、独立工作目录	事后抽检
L2 低风险写	表单填报、信息补录、工单创建	最小权限账号、提交前预览、字段级校验、操作频次限流	抽样复核＋异常告警
L3 高风险写	权限变更、批量配置、跨系统事务	二次确认、双人复核、变更窗口、可回滚快照	逐单审批＋全程留痕
L4 不可逆 / 高危	停服务、格式盘、批量删除、改防火墙、改密钥、支付	直接阻断或强制人工执行	人工执行，代理不介入

这条阶梯有明确的规范依据。全国网安标委《网络安全标准实践指南 —— 智能体部署使用安全指引》（v1.0-202607）要求 "不应使用操作系统管理员权限运行智能体"" 仅授予完成预期任务所必需的最小权限 ""限制可访问目录范围"" 仅本机可访问 "，并给出了高风险操作清单的示例：停止与停用系统服务、终止进程、格式化或复写磁盘、批量删除、权限修改、密钥更改、开放端口、修改防火墙规则、修改系统设置、访问密码管理者，涉及转账支付的操作也应列入。清单内操作必须" 二次确认或直接阻断 "。

同一套逻辑在厂商侧也有对应实现。Microsoft Copilot Studio 的 computer use 工具在 2026 年 5 月 13 日转正式版时，提供访问控制（网站与桌面应用允许列表）、强制 HTTPS、凭据保管库（平台内部加密存储或 Azure Key Vault）、以及 "人类监督"—— 检测到可能改变模型行为的有害指令时，通过邮件联系指定审查人，超时未响应则终止本次运行。它还专门标注了一个容易被忽略的坑：如果使用 "创建者提供的凭据" 并把代理共享出去，"任何使用它的人都可以使用原作者在配置好的机器上的访问权限"。这一条几乎是权限边界事故的标准剧本。

四、权责边界：四个角色，一张矩阵

最需要提前写清的，是出了事谁负责。按现有监管与司法口径，责任不会落到 "代理" 身上，而是落到部署它的组织身上。

角色	主要责任	责任依据
使用企业（部署方）	授权范围设定、人工监督、日志留存、事件上报、合规使用	中国《实施意见》要求用户保留知情权与最终决策权；EU AI Act 第 26 条部署方义务
服务商（集成 / 交付方）	选型、配置、集成、编排、监控、回滚与应急响应	合同中的 "控制权与责任对齐" 原则；EU PLD 供应链连带责任
模型与框架供应商	输出准确性、合规担保、缺陷披露	标准条款通常不承诺准确性，仅有限担保
云平台 / 基础设施方	运行环境隔离、身份与访问控制、日志审计、安全告警	信通院自律公约：云服务商为核心责任主体之一，须与用户厘清权责

这里有两个必须正视的事实。第一，责任是 "压缩" 而非 "转移"：代理自主执行等于取消了逐步的人工确认，法律不会因此把责任转给代理，而是把它整体压到部署方身上，形成所谓 "代理问责缺口"。第二，标准合同严重不匹配。对商业 AI 合同的统计显示，88% 的供应商把责任上限设在月度订阅费，仅 17% 对监管合规作出担保，33% 对第三方知识产权索赔提供赔偿。也就是说，一旦代理在一次批量配置里造成生产中断，你能拿到的赔偿很可能只等于几个月的软件费。

一个可参考的判例尺度：Mobley v. Workday 集体诉讼在 2025 年 5 月获有条件集体认证，涉及在相关期间被其筛选工具拒绝的约 11 亿份申请。这类案件说明单次部署的暴露面可以覆盖数亿人、跨越数年，用 "订阅费上限" 来承接这种量级的风险，结构上是不成立的。

五、合同里必须先写清的八条

序号	条款	要写到什么颗粒度
1	授权范围	逐条列明可访问系统、可执行动作、数据范围，附件形式，变更需重新审批
2	高风险操作清单	明确清单内操作由谁执行、需几级确认、可否豁免
3	责任上限	不用 "年度订阅费" 一刀切，安全、隐私、第三方索赔设超上限，故意与重大过失不设限
4	赔偿（Indemnity）	覆盖代理自主行为导致的第三方索赔，不只覆盖传统知识产权
5	合规责任分配	谁负责识别与落地适用法规（分类分级、备案、评估、标识）
6	可观测与审计权	日志、决策轨迹、工具调用记录、模型版本、评测结果、漂移指标的访问权与留存期
7	变更管理	模型升级、提示词变更、权限调整、编排逻辑修改需通知与再评估
8	退出与迁移	提示词、编排逻辑、评测集、运行手册、日志的可导出与交接

第 3 条和第 4 条最容易谈崩，也最该谈。行业里通行的起始谈判点是 "年度费用的 100%"，实际区间常在 50%—200%，但安全、隐私、第三方索赔通常需要更高的 "超上限"。另外，人工审批不等于免责 —— 当复核只是走形式、信息不足或缺陷被隐瞒时，审批几乎不起保护作用。

六、留痕：记录 "为什么"，不只是 "做了什么"

事故复盘时最常见的困境是：日志齐全，但证明不了 "当时有合理监督"。

对比项	普通操作日志	治理型日志（应达到的标准）
记录内容	访问了什么、点了什么、输入了什么	哪条策略授权了这次动作、代理在什么授权范围内运行、调用了哪个工具、推理依据是什么
证据价值	证明 "做过"	证明 "有权做、且被监督"
留存要求	按内部规定	高风险场景至少六个月，建议更长
完整性	可编辑	只追加＋哈希链，防篡改

字段层面至少要覆盖：代理标识与版本、授权范围、调用的工具或接口、授权依据（策略编号）、动作前的推理轨迹、结果与是否触发护栏、人工确认人与时间。全国网安标委的《智能体系统开发安全指南（征求意见稿，2026 年 9 月）把 "全链路可追溯与可解释" 列为开发原则，明确要支持 "行为追踪、决策解释、风险识别和责任分析"—— 这句话已经把日志的用途从运维排障提升到了责任认定。

七、落地六步与验收清单

盘场景：按 L1—L4 给现有 IT 服务交付流程分级，先只做 L1，跑两周比对人工结果。
定形态：按数据敏感度选接入方式，能在内网闭环的不用 SaaS。
配权限：非管理员账号、专用工作目录、允许列表、仅本机访问、凭据进保管库。
设关卡：L3 以上逐单审批，L4 直接阻断；配急停、回滚快照、灰度发布。
开留痕：治理型日志上线即开，别等事后补；补记的日志证据力更弱。
改合同：按上面八条逐条对标，责任上限与赔偿先谈，再谈价格。

验收清单（六项，缺一项就别上生产）

能否一键急停，且急停后所有后台进程确实退出；
高风险操作清单是否落到了技术层面（不是只写在文档里）；
代理是否以非管理员身份运行，可访问目录是否限定；
治理日志是否可导出、防篡改、留存期达标；
是否有资产登记表（用途、位置、责任人、模型版本、可访问系统、权限）；
是否有未审批代理的发现能力（端口扫描、流量分析、进程检索）。

结语

CUA 在 IT 服务交付里的合理定位，是一台 "拿着清单、权限受限、随时可叫停的初级工程师"，不是 "有生产权限的自动化脚本"。这个定位一旦错位，接入越顺、权限越大，出事时暴露得越快 ——10% 以上存在高危漏洞的实例、88% 把责任上限设在订阅费的合同、以及 "共享代理即共享原作者权限" 这类默认配置，都是同一条边界被反复越过的结果。真正要把这条线画住，靠的不是更强模型，而是三件事的顺序：先分级、再授权、最后留痕；顺序颠倒，任何一环都会在事故里被放大。

【相关 FAQ】

问题 1：计算机使用代理接入 IT 服务交付，第一步该给多大权限？

回答 1：从只读权限（L1）开始，不要一上来就给写权限。具体做法是：指定系统和允许列表、强制 HTTPS、只读账号、独立工作目录，先跑两周与人工结果比对。全国网安标委《智能体部署使用安全指引》明确要求 "不应使用操作系统管理员权限运行智能体"" 仅授予完成预期任务所必需的最小权限 ""限制可访问目录范围"" 仅作本机访问 "，这四项是计算机使用代理接入 IT 服务交付的最低门槛。

问题 2：计算机使用代理在 IT 服务交付中，哪些操作必须人工确认？

回答 2：按四级划分，L3 高风险写和 L4 不可逆操作都必须人工介入。规范给出的高风险操作清单包括：停止或停用系统服务、终止进程、格式化或复写磁盘、批量删除、权限修改、密钥更改、开放端口、修改防火墙规则、修改系统设置、访问密码管理者，涉及转账支付的操作也应列入，并要求 "二次确认或直接阻断"。计算机使用代理在 IT 服务交付中一旦触碰这些动作，就不该由代理独立完成。

问题 3：计算机使用代理出了事故，责任该由谁承担？

回答 3：责任落在部署它的组织身上，不会转移到代理或模型供应商。中国《智能体规范应用与创新发展实施意见》要求确保用户对智能体自主决策享有知情权和最终决策权、执行操作不得超出授权范围；欧盟《AI 法案》第 26 条给部署方列出人工监督、日志留存六个月、事件上报等九项义务。权责边界的基本原则是 "控制权与责任对齐"：谁有权做这个决定，谁承担后果；服务商与企业的责任分配应按各自对缺陷的实际控制程度划分。

问题 4：为什么说计算机使用代理的权责边界，光靠合同默认条款兜不住？

回答 4：因为标准条款和代理式部署的风险结构不匹配。对商业 AI 合同的统计显示，88% 的供应商把责任上限设在月度订阅费，仅 17% 对监管合规作出担保，33% 对第三方知识产权索赔提供赔偿。而计算机使用代理一旦在 IT 服务交付中批量改配置或误删数据，损失可能是生产中断加合规处罚，量级远超订阅费。所以权责边界必须在合同里逐条写：授权范围、高风险操作清单、责任上限（含超上限）、赔偿覆盖自主行为、合规责任分配。

问题 5：计算机使用代理的接入形态，会影响权责边界吗？

回答 5：会，而且影响很大。SaaS 形态数据出域，需确认等保等级与多租户隔离；私有化部署数据不出域，但企业要自建算力与运维；一体机天然 "数据不出机房"，但要确认模型可替换、场景可扩展；桌面客户端最轻量，但终端分散、资产登记与统一管控最难。中国信通院自律公约披露的背景是：截至 2026 年 4 月 15 日，我国互联网暴露的 OpenClaw 实例超 14 万个，超 60% 在云平台，10% 以上存在高危漏洞 —— 接入方式本身就是计算机使用代理最大的风险敞口。

问题 6：计算机使用代理的日志要记到什么程度，才算守住了权责边界？

回答 6：要记 "为什么"，不能只记 "做了什么"。普通操作日志只能证明代理操作过，治理型日志要能证明 "有权做且被监督"：哪条策略授权了这次动作、代理在什么授权范围内运行、调用了哪个工具、动作前的推理轨迹、结果与是否触发护栏、人工确认人与时间。欧盟《AI 法案》要求高风险系统日志至少留存六个月，实践中建议只追加＋哈希链防篡改。全国网安标委《智能体系统开发安全指南（征求意见稿）》把 "全链路可追溯与可解释" 列为原则，明确日志要支持 "责任分析"。

【参考资料】

[2026-11-03]（The Best Computer Use Agents in 2026: A Complete Guide to AI That Operates Your Computer）Simular
[2026-11-02]（agent 南橘北枳：171% 的回报，86% 的失败区间？）36 氪
[2026-10-30]（使用计算机自动执行 Web 和桌面应用）Microsoft Learn
[2026-10-23]（守住操作权限安全边界让智能体既能干活又 "不烧心"）人民邮电报／中国工信新闻网
[2026-10-14]（代理式 AI 时代？AI 热潮下的资安风险警示：从财会与内控视角看代理式 AI 的信任、责任与风险控管）安永台湾
[2026-10-08]（办公自动化 Agent 的部署形态是什么？对应怎样的技术定义）实在智能
[2026-09-26]（Which liability clauses should enterprises use for AI agents in 2026）lawr.io
[2026-09-01]（网络安全标准实践指南 —— 智能体系统开发安全指南（征求意见稿 v1.0-202609））全国网络安全标准化技术委员会
[2026-08-19]（机器人与智能体行为监管 —— 中国 AI 法治的新阶段）法治网
[2026-07-14]（Codex Computer Use 完整指南：AI 自动操控 Mac 与 Windows 桌面实战详解）阿里云开发者社区
[2026-07-01]（网络安全标准实践指南 —— 智能体部署使用安全指引（v1.0-202607））全国网络安全标准化技术委员会
[2026-07-01]（网络安全标准实践指南 —— 智能体交互安全要求（征求意见稿 v0.23-202607））全国网络安全标准化技术委员会
[2026-06-27]（AI Liability Inflection: Enterprise Accountability in the Agentic Era）Cloud Security Alliance
[2026-06-09]（什么是 Computer Use AI？香港老板的入门指南）UD Blockchain
[2026-05-08]（智能体规范应用与创新发展实施意见）中央网络安全和信息化委员会办公室
[2026-05-08]（专家解读｜把握智能体发展机遇，加快构建智能体治理体系）中央网络安全和信息化委员会办公室
[2026-05-06]（《云上智能体服务网络和数据安全自律公约（2026 版）》正式发布）中国信息通信研究院
[2026-05-02]（AI Computer Use Agents 2026: Claude, OpenAI Operator & Gemini — Production Test）WOWHOW

免责声明：本文所引法规、标准、条款与数据均来自公开发布的监管文件、标准实践指南、厂商官方文档及公开媒体报道，其中《智能体系统开发安全指南》《智能体交互安全要求》为征求意见稿，正式发布版本可能存在调整，引用时请以最终文本为准。文中关于可靠性区间的数据来自第三方生产实践统计，会随模型版本与场景变化；厂商自述的基准成绩为厂商口径，未经本文独立验证。本文对合同条款、责任上限、赔偿结构的建议仅为一般性参考，不构成法律意见；涉及具体交付合同、等保与合规备案事项，请咨询持牌律师及合规专业机构。实际部署方案应结合企业自身系统条件与监管要求确定，本文不构成采购或投资建议。

本文来自作者[晶轨定锚使]投稿，不代表环球科技潮立场，如若转载，请注明出处：https://www.zennew.com/rgzn/202611/1628.html