下午三点，一个 AI Agent 接到任务：把本周的项目进展整理成文档，把三份合同归档，再给外部合作方发一封确认邮件。前两件事它用了不到两分钟，第三件事它写完草稿后停住了，光标闪在“发送”按钮上，等人来点。
这个停顿很说明问题。演示里最抓人的部分是它能自己拆解任务、自己挑工具、出错自己重来；真正进入日常工作后，卡住的位置几乎总在同一个地方——需要有人为这个动作负责的那一步。
它停下的地方，往往不是最难的地方
把一件活拆开看，前面大半是信息搬运、格式转换、跨系统比对。这些事人做久了会烦、会漏，Agent 做起来却稳定，也不喊累。末尾那一小段才涉及对外承诺、动用预算、修改权限、代表某个人说话。论技术难度，后者并不比前者高；论风险性质，两者完全不同。前者错了可以重来，后者错了会留下痕迹。
于是很多团队的 Agent 看上去什么都会，实际上只被允许做前半段。后半段照旧由人收尾，人成了它的复核员，工作量没有减少，只是换了形态。
授权是一道需要算清楚的题
讨论授权时，含糊的说法帮不上忙。更实际的做法是按后果分档：
- 只读：能查、能比对、能总结，判断错了最多影响自己那份草稿。
- 可写：能改动系统里的记录，需要留痕，也需要回滚路径。
- 可对外：能替人说话、能花钱、能对外承诺，一旦发出就收不回来。
多数落地场景停在第二档，不是技术做不到，而是缺少一套对应的兜底机制。常见的折中是拆细权限，把不可逆的动作换成可逆的动作：不直接发邮件，先生成草稿；不直接改数据，先出变更单。代价是多几道人工确认，好处是出事时能追到具体是哪一步偏的。
权限给得太紧也有成本。只读权限下的 AI Agent 会慢慢退化成高级输入法：它能告诉你该怎么写，但一个字也不能替你落下去。时间一长，人会觉得它没什么用，然后停用。
它和脚本的差别，在于下一步不确定
固定脚本按写好的路径走，路径穷举得完，审查也就简单。Agent 会自己判断下一步调哪个工具、要不要再查一次、信息够不够。覆盖面因此变大，但没有人能提前把所有分支画出来。审查方式得跟着变：从看流程图，改成看轨迹——它调了什么、读了什么、中间产物长什么样、在哪一句上做了判断。
轨迹看不见，就没人敢放手。这也解释了一种反复出现的现象：技术验证跑通了，使用范围却迟迟不扩大。不是因为不好用，而是因为没人能说清楚它上一次到底做了什么。
最后签字的还是人
责任这件事绕不开。Agent 不承担后果，能承担的只有给它授权的那一方。这不是靠一句“模型很可靠”就能解决的信任问题，而是需要流程设计：谁批准了这档权限，谁复核了那类动作，出了偏差按什么路径回溯。
所以判断一个 AI Agent 到底好不好用，不妨看一个细节：它通常停在哪里。停得太早，说明权限给得太吝啬，人反而更累；如果从来不停，那才是需要警惕的信号。