设想一个并不遥远的下午：你让助手把下周的客户拜访安排进日历，顺手把整理好的会议纪要发给团队。它读懂了目标，拆分步骤，调用日历和邮件工具。真正让人犹豫的，是最后那一下——发送按钮要不要由它按下去。
很多人对AI Agent的想象，是一个不用盯着的数字同事：给出目标，它自己找工具、处理中间结果、推进到完成。现实里，最容易被忽略的反而是停顿。它可能已经写好邮件，却把收件人放进了错误的组；也可能查到了日程空档，却还没确认会议室是否可用。此时继续执行看似高效，实际把判断成本推到了事后。
能动手之后，问题才刚开始
会聊天和会办事之间，隔着一层很具体的东西：权限。模型可以生成计划，但计划一旦落到外部系统，就会产生可见后果。发错一封邮件、改错一个时间、删掉一份文件，都不是重新生成一段文字就能抹平的。于是，AI Agent 的价值不只在“能做多少”，还在“知道哪里该停”。
这也是为什么，演示里流畅的自动执行，到了真实工作流中往往要加入确认节点。确认并不等于否定自动化。它更像路口的一块减速带：大多数时候不影响通行，却能在视线不好时避免一次碰撞。关键是确认要出现在真正有后果的动作前，而不是每一步都弹窗。频繁打断会让人放弃使用，过度放行又会让人不敢使用。
权限不是开关，而是一组可解释的边界
把权限设计成“全开”或“全关”，看似简单，实际很难用。更合理的做法，是按动作的性质分层：读取日历、检索文档、起草邮件，风险相对可控；直接发送、修改日程、删除文件，则需要更明确的授权。智能体可以提出建议，但把不可逆的动作留给使用者确认。这样既保留了自动化带来的速度，也没有把责任悄悄转移给系统。
边界还需要被解释。一个可托付的流程，应该能说清楚它准备做什么、为什么这样做、用到哪些信息。比如“我准备把这份纪要发给项目组，因为你在上一封邮件里提到他们需要同步”，就比一句“已处理”更有用。解释不是装饰，而是让人判断能不能放行的依据。对AI Agent来说，能把不确定说出来，比假装确定更重要。
连续性靠记忆，也靠可回退
任务一长，记忆就会变成关键。昨天确认过的偏好、上次修改过的文档、当前进行到哪一步，都会影响今天的行为。但记忆不是越多越好。把临时信息长期保存，或者在无关任务之间串用上下文，都会带来新的风险。更稳妥的方式，是让记忆有范围、有期限，也让人能看见并修正。
另一件常被低估的事，是可回退。自动化系统不怕出错，怕的是出错后找不到从哪一步开始偏。保留操作记录、设置检查点、允许撤销，听起来不新鲜，却决定了人敢不敢把更长的任务交出去。一个流程如果只能一路向前，使用者就会在开始前反复犹豫；如果能在中途停下来、改一下、再继续，信任才有机会慢慢建立。
评估一个AI Agent，也不该只看它完成了多少任务。还要看它是否在不确定时收住，是否把关键动作讲清楚，失败后能不能恢复到可理解的状态。完成率描述的是结果，边界感描述的是能不能长期共事。两者缺一，自动化都容易停留在演示里。
回到那个下午的场景。发送按钮由谁按，并没有统一答案。重要的不是让系统显得多能干，而是让每一次放行都有理由。如果一个AI Agent能主动说“这一步需要你确认”，它不一定更弱；它只是更清楚，哪些动作应该留在人的手里。