免费试用结束前弹出一个确认框，人还没看清，浏览器里的助手已经替你点了同意。这种事正在变多。动作很小，后果不小：一笔扣款、一份授权、一条对外发出的消息，几秒内完成，人几天后才发现。
它和脚本不是一回事
传统的自动化脚本按固定路径跑，页面一变就报错，错了会停。AI Agent 的差别在于每一步都要现场判断：这个按钮是不是目标、页面加载完没有、下一步该点哪里。路径并非提前固定，而是根据眼前的画面即时决定。好处是界面改版也能对付，代价是「它为什么这么点」很难复述——同样一个任务，两次执行的轨迹可能完全不同。
交出去的是权限，还是判断
账号密码是身份授权，点下同意是意图授权。前者随时可以收回，后者一旦发生，就已经进入了对方的流程，收不回来。麻烦在于，很多产品把这两件事塞进同一个「允许访问」的开关里：给了 Agent 登录态，等于也给了它在弹窗上替你做决定的资格。这个合并很省事，但它默认了一件事——能看见按钮的人，就有资格按下去。
在企业环境里这一点更明显。共用账号跑起来的 Agent，日志里留下的是人的名字；出了事，追责链条第一步就断了。给 Agent 单独的身份、单独的凭证，目的是让「谁做的」这个问题有答案。
留痕要保留的内容
接口日志能告诉你调用了什么，但说不清它当时看到了什么。想把 AI Agent 放进真实流程，留痕得往前挪一步：
- 不可逆的动作——付款、签署、对外发送——设成必须人工确认，而不是默认勾选；
- 记录动作前后的页面状态，而不只是请求参数；
- 给每次会话设时限和额度，超了自动停，不靠人盯着；
- 把 Agent 的身份和人的身份分开，日志分别落库。
这些做法都不新，只是过去用在别的系统上。现在要面对的新情况是，执行者的判断本身不确定，所以证据链也得覆盖判断，而不只是结果。
有些按钮，交出去并不划算
判断标准可以很简单：这个动作能不能撤回。搜索、翻页、填草稿，错了重来就行，放手没关系。发出去的邮件、签掉的协议、扣掉的钱，撤回的成本远高于省下的那几秒。对外性也一样——内部整理可以交给它，代表你说话不行。
关于 AI Agent 的讨论，常常把重点放在它能干多少事上。能力当然重要，但决定它能不能被真正用起来的，往往是那些不起眼的地方：确认框是不是需要人手动点一下，日志里能不能看出它当时在犹豫什么。把「同意」从一个默认动作改回一个需要人动手的动作，比给它再加十个技能更能说明问题。