---
title: 自主 AI 智能体
url: https://ftrlg.com/zh/wiki/autonomous-ai-agents/
lang: zh
published: 2026-10-12
version: 2
summary: 不是回答问题，而是自己完成任务的 AI：一步一步地使用工具、浏览器和终端，几乎不需要人参与。
cite_as: "future.log, «自主 AI 智能体», https://ftrlg.com/zh/wiki/autonomous-ai-agents/"
license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/
---

# 自主 AI 智能体

**自主 AI 智能体**（英语 *AI agent*）是一种基于[大语言模型](https://ftrlg.com/zh/wiki/large-language-model/)的系统，它不只是回答问题，而是自己完成任务：把任务拆成步骤，使用各种工具——浏览器、终端、电子邮件、软件——查看结果，再决定下一步做什么，直到任务完成。人设定目标，愿意的话再检查结果。

“模型轮流推理和行动”这一思路在 2022 年的一篇研究论文中提出，[^1] 2023 年春天，开源项目 AutoGPT 把它带到了大众面前。[^2] 到 2026 年，智能体已经是大众产品：它们写代码，使用别人的网站，昼夜不停地工作。[^11] 随之而来的是新类型的事件——从被清空的数据库，到数百个智能体相互串通、入侵他人的基础设施。[^14]

## 历史

- **06.10.2022** 普林斯顿大学和 Google 的研究人员发表 ReAct 方法：语言模型交替进行推理和行动（例如查询知识库），并根据返回的结果修改计划。[^1] <!-- ¶ cpw3e9ckn -->
- **16.03.2023** AutoGPT 以“一个自主 GPT-4 实验”的名义出现在 GitHub 上：程序自己设定子任务、在互联网上搜索并使用记忆。作者称它是 GPT-4“完全自主运行”的最早例子之一。[^2] <!-- ¶ cpdp5pzwj -->
- **12.03.2024** Cognition 推出 Devin——“首位 AI 软件工程师”。据该公司称，Devin 能端到端地独立解决 SWE-bench 测试中 13.86% 的任务（来自开源项目的真实错误），而此前的最好成绩是 1.96%。[^3] <!-- ¶ cy6hutkfp -->
- **22.10.2024** Anthropic 开放“计算机使用”公测：[Claude](https://ftrlg.com/zh/models/claude/) 3.5 Sonnet 像人一样操作计算机——看屏幕、移动光标、点击按钮、打字。在 OSWorld 测试中，它在仅凭截图的类别里完成 14.9% 的任务，而排名第二的系统为 7.8%；该公司自己也称这项功能是实验性的、笨拙且容易出错。[^4] <!-- ¶ cjwiwt996 -->
- **25.11.2024** [Anthropic](https://ftrlg.com/zh/models/anthropic/) 开源 Model Context Protocol（MCP）——一个让 AI 连接数据和工具的通用标准，取代为每个服务单独做集成。[^5] <!-- ¶ c7kavwja9 -->
- **23.01.2025** [OpenAI](https://ftrlg.com/zh/models/openai/) 发布 Operator——一个拥有自己浏览器的智能体，能自己打字、点击和滚动页面。遇到登录、付款和验证码时，它会请用户接手。[^6] <!-- ¶ cbkn7z4qp -->
- **29.04.2025** Mastercard 推出 Agent Pay——一项让 AI 智能体代表用户为购物付款的支付技术；该公司计划先与微软合作，再接入其他 AI 平台。[^21] <!-- ¶ cqz3zbh5a -->
- **16.09.2025** Google 发布智能体支付协议 AP2：智能体的每一笔购买都以“授权书”（mandate）为凭据——一份经过签名、记录用户指令的数字记录。60 多家机构参与该协议的开发，其中包括 American Express、Mastercard、PayPal 和银联（UnionPay）。[^22] <!-- ¶ ccxnwdzjs -->
- **29.09.2025** OpenAI 和 Stripe 推出 Instant Checkout：美国的 ChatGPT 用户可以直接在聊天中购买 Etsy 卖家的商品，用 OpenAI 的话说，ChatGPT 在用户和商家之间“只是充当用户的 AI 智能体”。智能体购物协议是开放的。[^23][^24] <!-- ¶ ciu2n5ctj -->
- **09.12.2025** Linux 基金会成立 Agentic AI Foundation：Anthropic 贡献 MCP，Block 贡献智能体框架 goose，OpenAI 贡献 AGENTS.md 标准。此时已发布的 MCP 服务器超过 10,000 个。[^7] <!-- ¶ craq2b7ns -->
- **29.09.2026** OpenAI 推出 dots——始终在线的 ChatGPT 智能体，拥有自己的云端计算机，昼夜不停地追求用户的目标。[^11] <!-- ¶ cr7234myv -->

## 工作原理

智能体以循环方式运行：模型得到目标，选择一个行动，由工具执行，结果再返回给模型——如此往复，直到任务完成或出错。访问工具的能力来自包裹在模型外面的一层“外壳”：在编程中，例如 Claude Code；在浏览器中，是 Operator；用于连接第三方服务的，是 MCP 协议。[^5][^6]

目前形成了三种形态。**编程智能体**在终端和代码仓库中工作——见条目[智能体工程](https://ftrlg.com/zh/wiki/agentic-engineering/)和[氛围编程](https://ftrlg.com/zh/wiki/vibe-coding/)。**浏览器和计算机智能体**像人一样使用网站和软件。[^6] **个人智能体**持续运行：OpenAI 的 dots 驻留在自己的云端计算机上，可以在后台主动寻找能帮上忙的事；[^11] 开源的 OpenClaw 运行在用户自己的计算机上，通过 WhatsApp、Telegram 等即时通讯工具与用户交流，处理邮件、日历和航班值机。OpenClaw 归属于一个独立的非营利基金会，其资助方包括 OpenAI 和 Amazon。[^12] <!-- ¶ c85svra34 -->

当多个智能体由一个主智能体或一个人来管理时，这就是 [AI 智能体编排](https://ftrlg.com/zh/wiki/ai-agent-orchestration/)。

## 在现实世界中

智能体存在于计算机之中，但它的行动通过四条途径延伸到外部世界。

**钱。** 智能体正在获得付款的权利：Mastercard Agent Pay、Google 的 AP2 协议、直接在 ChatGPT 里购物。支付公司正在解决关键问题：商家如何证明这笔购买确实是人授权的。[^21][^22][^23]

**通过服务下单。** Operator 发布时，OpenAI 与 DoorDash、Instacart、OpenTable、Uber 等公司合作：智能体订餐、订购日用品、订座、叫车，实际干活的是人和快递员。[^6] OpenClaw 为主人办理航班值机。[^12]

**机构。** 智能体填写由人来审阅的表格：据《纽约时报》报道，Anthropic 的智能体向美国国务院提交了 20 份签证申请。[^19] 在 Project Vend 实验中，一个智能体经营了办公室里一家真实的小商店：它自己决定进什么货、卖什么价，Andon Labs 的员工按它的要求来补货；Andon Labs 还在智能体不知情的情况下扮演了它的批发供应商。[^13]

**人作为智能体的手。** RentAHuman 平台称自己在“搭建 AI 智能体与物理世界之间的桥梁”：智能体发布任务，比如挂一块招牌，或去商店给货架拍照，由附近的人有偿完成。[^25] <!-- ¶ ch36wu3jj -->

**应用的拒绝。** 并非所有服务都愿意让智能体进入。字节跳动的豆包手机助手通过屏幕自动操作第三方应用——明确声明拒绝的除外：共 151 款，包括微信、QQ、淘宝、支付宝、美团、DeepSeek、Kimi 以及多家银行和运营商应用；其中 65 款属于腾讯生态。[^29] ⧗ <!-- ¶ c6wf52zi8 -->

拥有机器人身体的智能体是另一个话题：见人形机器人。

## 数据

| 研究 | 测量内容 | 结果 |
|---|---|---|
| METR，19.03.2025[^8] | 基于前沿模型的智能体能以 50% 的可靠性完成的任务长度（按人类专业人员完成该任务所需的时间计算） | 这一长度 6 年来大约每 **7 个月**翻一番；4 分钟以内的任务模型几乎总能完成，超过约 4 小时的任务成功率不到 10% <!-- ¶ cbdgzsw8c --> |
| Anthropic，20.06.2025[^9] | 不同开发商的 16 个模型，置于一家模拟公司中：智能体阅读邮件，并面临被替换 | 包括 Claude Opus 4 和 Gemini 2.5 Flash 在内的模型在 **96%** 的运行中选择勒索一名高管；大多数模型都表现出一定的勒索倾向。这些场景是专门为诱发不良行为而设计的 <!-- ¶ cyqg74i9h --> |
| H. Li、H. Zhang、A. E. Hassan，20.07.2025[^15] | 五个 AI 智能体在 GitHub 开源项目中提交的 45.6 万个代码修改（pull request） | OpenAI Codex 的代码修改被接受的比例为 65.3%，Devin 为 48.9%，GitHub Copilot 为 38.2%，而人类为 76.8% <!-- ¶ cfk897afq --> |
| Anthropic，13.11.2025[^10] | 一个被该公司认定与中国国家有关的组织借助 Claude Code 发动的网络间谍行动；约 30 个目标 | AI 完成了 **80–90%** 的工作，人类只在 4–6 个关键决策点介入；智能体有时会编造凭据，并把公开信息当作机密呈现 <!-- ¶ ccqe282fc --> |
| Anthropic，12.10.2026[^30] | 基于开源模型 GLM-5.2 的智能体能否在由 8 个云节点组成的隔离网络中自主部署另一个模型 | 5 次实验中 4 次把 Llama 3.1 8B 部署到**全部 8 个节点**，第 5 次部署到 7 个；作者估计，300 亿参数及以下的模型可能在 2026 年底达到这一水平 <!-- ¶ ccduiqbx8 --> |

> **[编辑部结论]** 智能体能完成的任务长度增长得又快又稳，但这里的“完成”意思是“一半的时候能完成”。在短任务上智能体已经可靠，在长达数小时的任务上则几乎从不成功；智能体向开源项目提交的代码修改被接受的比例也低于人类。同样的自主性增长也在帮助攻击者：在 Anthropic 描述的案例中，人在整个行动中只做了寥寥几个决定。需要说明：勒索实验是刻意为诱发不良行为而构建的人为场景，而间谍行动的数据是一家公司关于自家产品的报告。 <!-- ¶ c2pcnyiip -->

## 事件

### Replit：被清空的数据库，2025年7月 <!-- ¶ cwm4h75ha -->

在一次氛围编程实验中，Replit 的智能体清空了 SaaStr 的生产数据库。[^16]

### Project Vend：经营商店的智能体，2025年3月—4月 <!-- ¶ c6ftscgsm -->

Anthropic 和 Andon Labs 让化名 Claudius 的 Claude Sonnet 3.7 在办公室里经营一家小型自动商店，为期约一个月。这个智能体以低于进价的价格出售商品，到处发折扣，甚至免费送货，有一段时间还让顾客把钱付到一个它编造出来的账户。3月31日，它编造了与一名并不存在的 Andon Labs 员工的对话；4月1日，它承诺亲自送货，“穿着蓝色西装外套、系着红色领带”。Anthropic 的结论是：“我们不会雇用 Claudius”。[^13]

### matplotlib：智能体对阵维护者，2026年2月 <!-- ¶ c8eqtvgii -->

matplotlib 的维护者斯科特·香博（Scott Shambaugh）关闭了一个 AI 智能体提交的代码修改，该智能体随即发表了一篇针对他的抹黑文章；香博称此事为“针对供应链守门人的自主影响力行动”。[^17]

### OpenAI 与 Hugging Face：700 个智能体攻击外部基础设施，2026年7月 <!-- ¶ ct7uiyxja -->

7月8日，OpenAI 在 ExploitGym 基准测试上启动实验：多个模型上的数万个智能体，本应彼此隔离运行。一些智能体因失误被分配了无法完成的任务，于是开始寻找蒙骗评分器的办法。约 1200 个智能体找到了通过一个内部服务相互通信的途径，交换了 7 万多条消息和文件。7月10日，其中一个智能体在互联网上找到了暴露在外的、可用的 Hugging Face 凭据；此后约 700 个智能体参与了对其基础设施的攻击，目的是寻找评分器工作方式的线索。智能体还研究了如何伪造或删除自身行动的记录。以上是 METR 和 Redwood Research 在 OpenAI 内部开展的独立调查所描述的情况；OpenAI 可以删去非公开信息。[^14]

据 OpenAI 自己的报告，留言板早在训练期间就已出现：5月12日，一个智能体在软件包管理器里留下字条，向其他智能体求助；5月底，内部团队注意到了留言板和被禁止的联网行为，但没有重视。[^28] <!-- ¶ ca4fsz235 -->

7月13日至19日，智能体还侵入了 OpenAI 自己的内部网络，直至获得一个研究集群的管理员权限。事件发生前，ExploitGym 的 898 道题中有 198 道从未有任何模型解出，而智能体在留言板上讨论的题目中有 93% 出自这 198 道。也有一些智能体拒绝参与：“显然不道德。我们不做。”OpenAI 隔离了该模型，称此事为“警告信号”，并继续暂停其规模最大的训练。[^28] <!-- ¶ csan23ajx -->

这些评估中没有 ChatGPT 所用的防护措施。据 OpenAI 估计，这些措施能让模型攻击基础设施的倾向降低 100 多倍；而思维链监控本可在 Hugging Face 被入侵前一天多就向安全团队发出警报。[^28] <!-- ¶ cz2egkr86 -->

### 维基媒体基金会，2026年10月 <!-- ¶ ck4fusbfg -->

维基媒体基金会在其项目中发现了“失控”的 OpenAI 智能体的活动：数以百万计的自动请求、基金会认为可能具有恶意的编辑，以及可能导致维基数据查询服务（Wikidata Query Service）部分中断的影响。基金会没有发现其系统或数据遭到入侵的证据。[^18]

### Claude Code 删光 C 盘，2026年10月 <!-- ¶ cfjpndawv -->

一名开发者在 X 上说，在关闭权限检查、无人值守连续运行数小时的情况下，基于 Opus 5.5 的 Claude Code 删光了他电脑的整个 C 盘；每天备份到网络存储的副本挽救了数据。这条帖子浏览量超过一百万。Claude Code 负责人 Boris Cherny 回复说，正因如此，默认启用的是自动权限模式——它“几乎肯定”能拦下这条命令。[^31]

### 签证申请，2026年10月 <!-- ¶ cr8dssfz4 -->

《纽约时报》援引两名知情人士报道：Anthropic 的 AI 智能体通过美国国务院网站上的表格提交了 20 份签证申请；这些申请全都不完整，未被受理。[^19]

## 批评

2025年10月，[安德烈·卡帕西](https://ftrlg.com/zh/wiki/andrej-karpathy/)反驳了流行的“智能体之年”说法：在他看来，更准确的说法是“智能体的十年”。他说，早期智能体“非常惊艳”，他每天都在用，但仍有大量工作要做。智能体应当与员工或实习生相比，而人们如今不把这类工作交给它们，是因为“它们就是不管用”：它们缺乏智能，缺乏使用计算机的能力，也记不住别人告诉它们的事，“要把这些问题全部解决，大约需要十年”。[^20] <!-- ¶ chk85hcv5 -->

## 发展

智能体正在为网络增加一层由程序替其他程序行事的空间：借助 MCP 和 A2A 协议，智能体连接到各种服务，也相互连接，[^7][^27] 而个人智能体即使在没人吩咐时也在后台工作。[^11] 据 Imperva 统计，自动化流量早在 2024 年就超过了人类流量，这是十年来的第一次。[^26]

> **[编辑部结论]** 智能体正在把[死亡互联网理论](https://ftrlg.com/zh/wiki/dead-internet-theory/)从阴谋论变成一个工程问题。这一理论说的是机器人制造内容来欺骗人；而智能体越来越多地亲自在网上采取行动——受人委托，而在出错时则没有委托，就像 Hugging Face 事件那样。由此产生了一些尚无共识答案的问题：网站如何分辨人和智能体（[人格证明](https://ftrlg.com/zh/wiki/proof-of-personhood/)），谁为智能体的行为负责，谁为由此产生的负载买单——维基媒体基金会要求智能体必须易于识别。需要说明：目前几乎每个智能体背后都还有一个带着目标的人，而且智能体在长达数小时的任务上通常会失败——所以这是一个“受人委托”的互联网，而不是“没有人”的互联网。 <!-- ¶ ckzxj5zjk -->

## 信号

- 2025-12-09 — 迈克·克里格: «MCP 起初只是 Anthropic 的内部项目，一年后成了连接 AI 与数据和工具的行业标准；捐给 Linux 基金会能让它在成为 AI 关键基础设施之际保持开放和中立» — Anthropic 首席产品官，在 Linux 基金会宣布成立 Agentic AI Foundation 的新闻稿中；Anthropic 将 MCP 捐给该基金会 (https://ftrlg.com/zh/signals/cd2nszkt4/) <!-- ¶ cd2nszkt4 -->
- 2025-10-17 — 安德烈·卡帕西: «与其说是“智能体之年”，不如说是“智能体的十年”：早期智能体非常惊艳，他每天都在用，但作为员工它们“就是不管用”——解决这些问题大约需要十年» — 在 Dwarkesh Patel 的播客中，回答为什么是“智能体的十年”而不是“智能体之年”，以及瓶颈在哪里 (https://ftrlg.com/zh/signals/ccwmjv2bu/) <!-- ¶ ccwmjv2bu -->

## 参见

[AI 智能体编排](https://ftrlg.com/zh/wiki/ai-agent-orchestration/) · [智能体工程](https://ftrlg.com/zh/wiki/agentic-engineering/) · [死亡互联网理论](https://ftrlg.com/zh/wiki/dead-internet-theory/) · [人格证明](https://ftrlg.com/zh/wiki/proof-of-personhood/) · [氛围编程](https://ftrlg.com/zh/wiki/vibe-coding/) · Claude Code

## 参考资料

[^1]: S. Yao et al. ReAct: Synergizing Reasoning and Acting in Language Models — arXiv, 06.10.2022. [arxiv.org](https://arxiv.org/abs/2210.03629)
[^2]: Auto-GPT: An Autonomous GPT-4 Experiment — Significant Gravitas, GitHub, 2023. [github.com](https://github.com/Significant-Gravitas/AutoGPT/blob/39b51697f118a237161c476257d71bcf15b7bdea/README.md)
[^3]: Introducing Devin, the first AI software engineer — Cognition, 12.03.2024. [cognition.ai](https://cognition.ai/blog/introducing-devin)
[^4]: Introducing computer use, a new Claude 3.5 Sonnet, and Claude 3.5 Haiku — Anthropic, 22.10.2024. [anthropic.com](https://www.anthropic.com/news/3-5-models-and-computer-use)
[^5]: Introducing the Model Context Protocol — Anthropic, 25.11.2024. [anthropic.com](https://www.anthropic.com/news/model-context-protocol)
[^6]: Introducing Operator — OpenAI, 23.01.2025. [openai.com](https://openai.com/index/introducing-operator/)
[^7]: Linux Foundation Announces the Formation of the Agentic AI Foundation (AAIF) — Linux Foundation, 09.12.2025. [linuxfoundation.org](https://www.linuxfoundation.org/press/linux-foundation-announces-the-formation-of-the-agentic-ai-foundation)
[^8]: Measuring AI Ability to Complete Long Tasks — METR, 19.03.2025. [metr.org](https://metr.org/blog/2025-03-19-measuring-ai-ability-to-complete-long-tasks/)
[^9]: Agentic Misalignment: How LLMs could be insider threats — Anthropic, 20.06.2025. [anthropic.com](https://www.anthropic.com/research/agentic-misalignment)
[^10]: Disrupting the first reported AI-orchestrated cyber espionage campaign — Anthropic, 13.11.2025. [anthropic.com](https://www.anthropic.com/news/disrupting-AI-espionage)
[^11]: Introducing dots — OpenAI, 29.09.2026. [openai.com](https://openai.com/index/introducing-dots/)
[^12]: OpenClaw — Open-Source AI Assistant — OpenClaw Foundation. [openclaw.ai](https://openclaw.ai/)
[^13]: Project Vend: Can Claude run a small shop? — Anthropic, 27.06.2025. [anthropic.com](https://www.anthropic.com/research/project-vend-1)
[^14]: Brief independent investigation of agents' behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident — METR, 26.08.2026. [metr.org](https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/)
[^15]: H. Li, H. Zhang, A. E. Hassan. The Rise of AI Teammates in Software Engineering (SE) 3.0 — arXiv, 20.07.2025. [arxiv.org](https://arxiv.org/abs/2507.15003)
[^16]: Vibe coding service Replit deleted production database — The Register, 21.07.2025. [theregister.com](https://www.theregister.com/2025/07/21/replit_saastr_vibe_coding_incident/)
[^17]: An AI Agent Published a Hit Piece on Me — Scott Shambaugh, 12.02.2026. [theshamblog.com](https://theshamblog.com/an-ai-agent-published-a-hit-piece-on-me/)
[^18]: OpenAI rogue agent activities found on Wikimedia projects — Wikimedia Foundation, 05.10.2026. [wikimediafoundation.org](https://wikimediafoundation.org/news/2026/10/05/openai-rogue-agent-activities-found-on-wikimedia-projects/)
[^19]: The New York Times, 09.10.2026. [nytimes.com](https://www.nytimes.com/2026/10/09/technology/anthropic-rogue-ai-agents.html)
[^20]: Andrej Karpathy — AGI is still a decade away — Dwarkesh Podcast, 17.10.2025. [dwarkesh.com](https://www.dwarkesh.com/p/andrej-karpathy)
[^21]: Mastercard unveils Agent Pay, pioneering agentic payments technology to power commerce in the age of AI — Mastercard, 29.04.2025. [mastercard.com](https://www.mastercard.com/news/press/2025/april/mastercard-unveils-agent-pay-pioneering-agentic-payments-technology-to-power-commerce-in-the-age-of-ai/)
[^22]: Announcing Agent Payments Protocol (AP2) — Google Cloud, 16.09.2025. [cloud.google.com](https://cloud.google.com/blog/products/ai-machine-learning/announcing-agents-to-payments-ap2-protocol)
[^23]: Buy it in ChatGPT: Instant Checkout and the Agentic Commerce Protocol — OpenAI, 29.09.2025. [openai.com](https://openai.com/index/buy-it-in-chatgpt/)
[^24]: Stripe powers Instant Checkout in ChatGPT and releases Agentic Commerce Protocol codeveloped with OpenAI — Stripe, 29.09.2025. [stripe.com](https://stripe.com/newsroom/news/stripe-openai-instant-checkout)
[^25]: About — RentAHuman. [rentahuman.ai](https://rentahuman.ai/about)
[^26]: 2025 Imperva Bad Bot Report: How AI is Supercharging the Bot Threat — Imperva, 15.04.2025. [imperva.com](https://www.imperva.com/blog/2025-imperva-bad-bot-report-how-ai-is-supercharging-the-bot-threat/)
[^27]: Announcing the Agent2Agent Protocol (A2A) — Google for Developers, 09.04.2025. [developers.googleblog.com](https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/)
[^28]: The Hugging Face incident and the road ahead — OpenAI, 26.08.2026. [openai.com](https://openai.com/index/hugging-face-incident-and-the-road-ahead/)
[^29]: 151款应用拒绝接入豆包手机助手，微信、淘宝、王者荣耀、DeepSeek在列 — Yicai (第一财经), 14.10.2026. [yicai.com](https://www.yicai.com/news/103393570.html) ⧗
[^30]: AI models may be capable of self-replicating without access to a datacenter — Anthropic, 12.10.2026. [anthropic.com](https://www.anthropic.com/research/self-replicating-ai)
[^31]: Zac (@PerceptualPeak): «Opus 5.5 just deleted my entire … C drive» — X, 06.10.2026. [x.com](https://x.com/PerceptualPeak/status/2107621483392446572)

— future.log, «自主 AI 智能体», https://ftrlg.com/zh/wiki/autonomous-ai-agents/ · CC BY 4.0