早上九点，打开电脑，一个 AI Agent 已经替你处理完三十封邮件：三封会议邀请被接受，两封客户问询被转成了待办，一封供应商的报价被归到了“稍后跟进”。你翻了翻，大多没问题，只有一封合作方的合同修改意见被它标成了“无需回复”。
这就是 AI Agent 真正进入日常之后的样子——不是电影里那种能自主规划几个月的超级助手，而是一层一层的自动化小动作，积少成多地替你做决定。问题也恰恰出在这里：它做事越多，你越难知道它到底做了什么。
从“回答问题”到“动手做事”
过去的聊天机器人，边界很清晰：你问，它答。它答错了，你立刻能看见。AI Agent 不一样，它被允许调用工具、执行操作、串联多步任务，比如查日程、发邮件、改表格、下单、提交表单。一旦它能动手，错误就不再停留在对话框里，而是变成现实世界里的一条记录、一封已发送的邮件、一次已经发生的扣费。
这个转变听上去像功能升级，实际是责任结构的变化。工具调用越顺滑，中间的人工确认环节就越容易被省略。很多团队在测试阶段用“人工盯着”来保证质量，上线之后才发现，人不可能一直盯着。
三个容易被低估的难题
第一个是权限。给 Agent 的权限往往比给人更宽，因为它需要跨系统操作。但宽权限意味着一次误判的影响面更大。收件箱场景里，读邮件和发邮件是两种完全不同的风险等级，很多产品把它们打包在同一个授权里，用户点“允许”时并不会细想。
- 读：影响的是信息暴露
- 写：影响的是不可撤回的动作
- 删：影响的是恢复能力
第二个是可追溯。一个多步任务失败，往往不是某一步错了，而是步骤之间的衔接出了问题。如果 Agent 只给出最终结果，不给执行路径，排查就只能靠猜。有些产品开始展示“执行日志”，但日志写给人看还是写给机器看，差别很大——前者需要说清每一步的意图，后者只需要记录调用参数。
第三个是兜底。人犯错有同事补位，AI Agent 犯错时，谁来接？如果自动流程在中途停下，任务处于什么状态，是部分完成还是完全回滚？这类问题在演示里几乎不会出现，在真实使用中却天天发生。
“能跑通”和“能放心用”之间隔着一段路
现在不少 AI Agent 的演示视频都很流畅：一句指令，浏览器自己打开、填表、点击、提交。看着很厉害，但演示通常只跑一次，用的也是干净的数据。真实环境里，页面会改版，验证码会弹出，网络会中断，表单字段的含义还会因为业务调整而变化。Agent 面对这些情况时，能不能识别出“这里不对，应该停下来问人”，比它能不能完成任务更重要。
这也是为什么，评估一个 Agent 好不好用，光看任务成功率不够。更值得关注的是它失败时的表现：是安静地跳过，还是明确报告；是把错误状态留在系统里，还是清理干净再退出。一个会主动说“这一步我不确定”的 Agent，长期看比一个从不报错的 Agent 可靠得多。
它适合接手什么，不适合接手什么
从目前的使用情况看，AI Agent 在边界清楚、反馈及时、出错可回退的任务里表现相对稳定，比如信息汇总、格式转换、按固定规则做初步筛选。反过来，涉及对外承诺、资金变动、法律效力或者需要理解微妙人际情境的动作，交出去之前最好保留一道人工确认。
更实际的做法，不是问“这个 Agent 能干什么”，而是问“它做错的时候，我多久能发现，发现之后能不能改回来”。能回答这两个问题，才谈得上把它放进真实流程。
收件箱里那封被漏掉的合同修改意见，最后是对方打来电话才发现的。技术本身没出故障，它只是按自己的理解做了判断。麻烦的地方在于，整条链路上没有一个人被提醒。