早上九点，邮箱里堆着几十封未读邮件。你让一个助手“把需要回复的挑出来，按紧急程度整理”。几分钟后，它真的生成了清单，还顺手删掉了它认为不重要的促销邮件。问题来了：它凭什么判断“不重要”？如果删错了，责任落在谁身上？
这类场景让“智能体”这个词变得具体。它不只是一个会聊天的窗口，也不完全是按固定规则跑动的脚本。固定自动化擅长处理已知路径：如果收到A，就执行B。它面对的是模糊目标，需要自己拆解步骤、选择工具、根据中间结果调整。换句话说，它把“怎么做”的一部分决定权拿了过去。
先分清：会调用工具，不等于能放手
很多演示里，它会搜索、读文件、发消息，看起来像一名数字员工。但演示环境和真实业务之间，隔着权限、异常处理和可追溯性。一个能读取文档的助手，未必适合直接修改文档；一个能发邮件的助手，也未必该拥有通讯录的全部权限。能力越接近执行端，边界越要提前画。
我的判断是，评估一个智能体，不必先看它回答得多漂亮，而要看它在“不确定”时怎么做。比如目标含糊时，它是追问，还是自行补全？工具返回错误时，它是重试、换路径，还是把错误包装成结论？遇到超出权限的动作，它是停下，还是试图绕过？这些细节比演示视频更能说明问题。
试用前，先问三个边界问题
- 权限边界：它被允许看什么、改什么、发给谁？能否把“读取”和“写入”拆开，把高风险动作留给人确认？
- 目标边界：任务描述里哪些是硬约束，哪些可以临场判断？如果用户只说“整理一下”，它应该整理到什么程度？
- 审计边界：它每一步调用了什么工具、依据什么信息、产生了什么结果，能否回看？没有记录，就很难在出错后定位。
这些问题的紧迫性被放大了。传统自动化出错，往往能顺着规则找到原因；模型驱动的执行多了临场选择，路径不再唯一，记录和复核就更重要。对企业来说，较稳妥的做法不是一上来就交出完整流程，而是从可回退、可观察的小任务开始，让它在有限范围内暴露问题。
还有一个容易被忽略的点：智能体的“自主”通常来自目标与工具的组合，而不是某种神秘能力。目标写得越含糊，它越可能用看似合理的方式补全；工具给得越多，它越可能选择一条人没预料到的路径。所以，限制工具清单、明确停止条件，往往比反复调整提示词更实际。
回到早上那封被删掉的促销邮件。真正需要盯住的，不是它有没有“自作主张”，而是我们有没有在授权之前想清楚：哪些决定可以交给它，哪些必须留在人手里。它可以在流程里执行任务，但边界设计仍是人的工作。