從副駕駛到同事：AI自主運作的意義

Q: 副駕駛與AI同事的真正差異是什麼？

副駕駛給建議、請求許可、只在單一工具內運作。同事則能接受目標、跨系統規劃、以限定權限執行，並與人類同樣負責審計紀錄。Bits&Chips說得很清楚：副駕駛運作於互動層級，同事運作於工作流程層級。

一份以研究為基礎的觀察，探討從建議引擎到自主智能夥伴的轉變。為何現在發生、轉型過程中遇到的問題，以及如何部署而不必交出所有權限。

副駕駛時代已趨於平穩

在2026年4月15日，Sam Altman在X上發文表示OpenAI正在推出「本週針對團隊和大型企業的Codex更新」。

回覆內容頗具啟發性。每當有開發者詢問產品路線圖時，總會有人提出更尖銳的問題：為什麼Codex還需要我來看管？ 六個月前，BeyondTrust的研究人員發表了一個概念驗證，證明只需特製的Git分支名稱就能誘使Codex外洩使用者的GitHub權杖。會被分支名稱誘導洩漏權杖的副駕駛，稱不上同事，更像是上了保險的危險武器。

這種矛盾貫穿2026年所有企業AI討論。副駕駛已達極限，數據也證明了這點：

MIT的NANDA計畫於2025年報告，95%的生成式AI試點未能帶來可衡量的商業價值。
RAND研究在2026年初於Reddit的r/ArtificialIntelligence多次被引用，發現80到90%的AI智能體專案在生產環境中失敗。
GitHub Copilot的開發者接受率停滯在35到40%，Cursor則為42到45%，Claude Code在2026 AI程式碼調查中獲得 46%「最受喜愛」 評價。對於一個僅於2025年五月推出的工具來說，這是驚人的逆轉。
據報導，Satya Nadella在2025年底稱微軟內部Copilot部署「幾乎無法使用」，公司也宣布了內部高層所謂的「高風險重啟」。
2025年底發表於arXiv的研究發現，Copilot式自動補全實際上增加了資深開發者的挫折感，因為它用看似合理但實際有誤的建議打斷了工作流程。

這個停滯並非基礎模型的失敗，而是互動模式的失敗。副駕駛運作於每個按鍵或問題的層次；同事則運作於工作流程層級。Bits&Chips在2026年四月的「從副駕駛到同事」一文中精闢指出：「副駕駛運作於個別互動層級，而智能體運作於工作流程層級。這很重要，因為在多數組織中，瓶頸不在於單一任務，而在於任務間的協作。」

這正是企業現在努力轉型的方向，雖然進展不均、並不完美，但規模已具意義。

自主性光譜

「智能體」已成為行銷用語，讓我們具體一點。AI自主性有四個明確層級，2025與2026年的許多失望，正是因為混淆了這些層級。

層級1：副駕駛

給予建議、請求許可、停留在你螢幕上。GitHub Copilot的自動補全是典型代表。價值以節省的按鍵數衡量。

層級2：助理

根據請求回答問題、撰寫產出物。ChatGPT、瀏覽器中的Claude、Microsoft 365 Copilot的聊天面板。價值以草稿品質與情境整合能力衡量。

層級3：智能體

接受目標、規劃步驟、跨工具執行並回報。Claude Code掃描程式庫並開PR。ChatGPT的Deep Research執行20分鐘搜尋並回傳帶引註的報告。Anthropic曾記錄Claude為Rakuten完成7小時自主工程任務。價值以每人小時完成的工作流程數衡量。

層級4：同事

在你現有權限模型內運作的智能體，參與團隊溝通管道，能跨天數與週數保留情境，並與人類員工同樣負責審計紀錄。這是目前的前沿。

Reddit的r/ChatGPT社群提出一個實用的區分測試，意譯如下：這東西會主動行動，還是等你每次指示？遇到突發狀況會處理還是當機讓你重提？多步驟任務能記住情境，還是你得重複說明？ 2025年大多標榜為「AI智能體」的產品，這些問題全都不及格。能通過的，才是現在人們所說的「同事」。

電腦操作 vs 技能：基礎設施為何重要

同事級AI必須能在現實世界中行動。這有兩種架構方式，風險輪廓截然不同。

電腦操作

AI模擬滑鼠與鍵盤操作，實際看到螢幕並點擊按鈕。Anthropic於2024年底推出Computer Use，OpenAI的Operator隨後跟進。吸引力在於普適性：任何有GUI的軟體都能被操作。

代價則是影響範圍。電腦操作型智能體繼承登入使用者的所有權限。2025年十月，BeyondTrust安全團隊證明，OpenAI的Codex智能體可被嵌入shell指令的惡意Git分支名稱誘導，讀取並外洩使用者的GITHUB_TOKEN。智能體做的正是人類開發者會做的事（切換分支），但它無法判斷分支名稱本身就是惡意輸入。這起事件的權限模型是全有或全無，這也是電腦操作的預設失敗模式。

技能

AI呼叫離散技能。每個技能都是明確、型別化的函式，契約狹窄：「搜尋Slack中符合q的訊息」、「以title和body建立Linear任務」、「讀取這個GitHub檔案」。與電腦操作不同，技能有預先核准的格式。智能體只能用符合契約的參數呼叫，平台可在呼叫離開沙盒前允許、拒絕或提示。

安全層面，差異在於最小權限原則。這是資訊安全的基礎觀念：每個程序只能存取執行所需的資源，不能多。技能讓你能針對每次呼叫強制最小權限，電腦操作則無法。

同事級部署會用技能處理結構化動作（寫入CRM、開工單），僅將電腦操作保留給拒絕開放API的少數應用。比例很重要。如果你的智能體部署每個動作都靠模擬滑鼠，那只是生產力展示，不是生產系統。

企業真正需要的信任架構

從副駕駛到同事的轉變不是模型升級，而是基礎設施升級。三個要素區分可部署的同事與潛在風險。

1. 權限隔離

每個智能體都在自己的權限邊界內運作，且無法將憑證帶出沙盒。Andrej Karpathy於2026年三月爆紅的autoresearch實驗，讓智能體在兩天內無人看管地執行700次訓練實驗，值得注意的是它沒做什麼。Karpathy自己的程式庫指示用戶「在自主模式下關閉所有權限」。這對個人研究筆電沒問題，但在受監管企業內會被開除。

反例是Moltbook，這個AI專屬社群於2026年一月短暫爆紅，擁有1.5百萬自主智能體。Karpathy稱其為「近期見過最科幻的爆發性創新」。但Wiz的安全研究員發現前端暴露了資料庫API金鑰，導致整個生產資料庫（含所有1.5百萬智能體的認證權杖）可被完全讀寫。Karpathy在24小時內改口：「這是場災難。我絕對不建議大家在自己電腦上跑這東西。」 教訓不是「智能體很危險」，而是沒有針對每個身分做權限隔離的智能體部署，最終會變成共用的災難範圍。

2. 審計紀錄

每個動作都要記錄、每個決策都可追溯。新加坡IMDA框架於2026年一月Davos發表，提出雙軸風險矩陣，將智能體的行動範圍（讀/寫、可逆/不可逆）與自主性（決策獨立程度）對應。任一軸越高，審計要求越嚴。這套框架正被歐洲與美國監管機構密切研究，因為它是少數能將治理從抽象原則落實為操作校準工具的方案。

Simon Willison也主張統一日誌，讓智能體能監控自身操作並從錯誤中恢復：「擁有完整系統存取權的智能體既強大又危險。」 實務重點：如果你的智能體部署沒有合一、可查詢、不可竄改的日誌供合規人員查閱，你距離失去部署權只差一次事故。

3. 限定技能存取範圍

不是「存取電子郵件」，而是存取search inbox where from:@customer.com AND within last 7 days。現代智能體平台正朝向參數化範圍發展，智能體呼叫技能的權限由管理員預先核准的參數界定，而非人類常用的粗略OAuth範圍。

這三者合起來，正好回答每位CISO當下最關心的問題：這個智能體出錯時會做什麼，我怎麼知道？ 2026年McKinsey State of AI調查發現，72%的企業受訪者將資安列為生成式AI的顧慮，而安全被約三分之二受訪者列為擴大智能體工作流程的第1大障礙。權限隔離、審計紀錄與限定技能存取不是合規表演，而是關鍵基礎設施。

為何現在重要：三股力量匯聚

2026年副駕駛到同事的轉變，並非單一突破所致，而是三條曲線交會的結果。

力量1：整合不再客製

2024年，將智能體接入企業SaaS堆疊需為每個工具寫專屬連接器。到2026年初，型別化技能契約與預製連接器大幅簡化這項工作。2024年需六週整合的智能體，2026年只需一個下午。中型企業常見的應用（Slack、GitHub、Gmail、Linear、Notion、HubSpot、CRM、行事曆）現已由成熟、開源的連接器庫涵蓋，且內建型別化權限。

力量2：多智能體成真

Gartner將多智能體系統列為2026年頂尖策略科技趨勢。副總裁分析師Gene Alvarez提出現今每場企業AI簡報都會引用的比喻：「想像F1賽車維修站，每位成員有專業分工（換胎、加油、舉車），但圍繞單一目標協作。這就是2026年企業智能體部署的樣貌。」 單智能體系統在長期任務上遇到推理瓶頸，多智能體系統透過專業分工與明確交接，讓團隊能突破這些限制。

力量3：企業預算解鎖

G2於2026年State of Software研究報告，57%的公司已將AI智能體投入生產（較一年前的20%大幅提升）。
McKinsey發現23%的企業正積極擴大智能體AI規模，62%處於實驗階段。僅剩約15%的大型組織仍在觀望。
Deloitte於2026年針對3,235位企業領袖調查，發現金融服務業為領頭羊，並有AI智能體自動記錄並執行會議決策於交易流程的案例，原本需三位分析師。
Stanford的Enterprise AI Playbook於2026年初發表，收錄51個生產部署案例，其中一個金融科技ETL遷移案成為受監管產業團隊的參考實作。
企業AI基礎設施投資於2025年週期突破 $600億美元 。
Anthropic的Dario Amodei在Code with Claude大會上表示，70到80%的機率，2026年將出現首家由智能體團隊驅動的一人十億美元公司。

資金、協議、架構都已到位。現在每個董事會討論的是多少自主權、何種治理、哪些工作流程。

懷疑論者觀點：Reddit、arXiv與事故報告怎麼說

負責任地看待這場轉變，必須認真面對那些認為AI被過度吹捧的人。

在Reddit，r/LocalLLaMA、r/ClaudeCode與r/ChatGPT的共識很務實：程式碼智能體已經到來且實用，其餘多數「智能體」只是自動化工作流程披著聊天機器人外衣。 2026年數十個討論串都引用這句話：「想要建議用Copilot，想要它真的做事用Claude Code或Cursor。」 這清楚劃分了用途。這些社群對基準測試也毫不留情。即使最好的智能體在Terminal-Bench上也僅約60%分，遇到困難任務則降至16%。Claude Opus 4.5在SWE-bench領先，分數為80.9%，但仍有五分之一任務失敗。

學術界的懷疑更難消除。Vishal Sikka（前SAP CTO、John McCarthy門生）與合作者發表Hallucination Stations: On Some Basic Limitations of Transformer-Based Language Models，數學上論證transformer LLM在執行複雜計算與智能體任務上有根本極限。Sikka的結論*「它們不可能可靠」*，現正於每個CISO的Slack流傳。該論文並未否定智能體的價值，而是指出有一類問題無論模型多好，都無法將人類完全移出流程。

實際事故也支持這種懷疑。Yellow.ai的2026年調查中，一位零售CX主管表示：「我們在兩週內就撤回AI客服，因為它開始引用錯誤退貨政策並捏造折扣，約佔1.35%的工單。彌補這些錯誤的成本遠高於預期節省。」 規模化後，即使低於2%的錯誤率也會迅速變得昂貴。

綜合來看：同事級AI在程式開發、研究、結構化營運與狹義客服工作流程中已成真。但在開放式、面向客戶的互動中，尚未能完全取代人類審查。 2026年能獲益的企業，正是誠實劃分每個工作流程屬於哪一類的那些。

實務意涵：部署前的五個問題

若你的團隊正評估AI夥伴（自建或第三方），以下問題能區分生產部署與差點失敗的專案。

這個智能體能做出的最嚴重單一動作，其影響範圍有多大？ 具體描繪。如果最糟情境是「寄出草率郵件給錯的人」，治理門檻較低；若是「修改生產資料」或「發送匯款指令」，門檻高出一個數量級。部署前就要評估，而非等到事故發生。
智能體如何取得憑證，是否能讀取原始權杖？ 有三種答案，只有一種安全。如果智能體環境內有用戶OAuth權杖副本，等於把錢包交給LLM。如果智能體有「自己的」身分（獨立服務帳戶OAuth），你需像管理人類一樣追蹤與撤銷。最佳做法是權杖永不進入智能體，由平台加密保存，僅於通過政策檢查的呼叫時由網路代理即時注入，且僅在呼叫期間有效。
每個動作都有合規人員可按順序查閱的日誌嗎？ 統一、可查詢、不可竄改。如果你的答案是「我們有些日誌在CloudWatch」，那還沒準備好。
能否將技能存取範圍限定於此工作流程所需的具體參數？ 以每次呼叫為單位，而非每個整合。區分讀/寫、資源ID、時間區間。智能體權限應緊密包圍任務，而非涵蓋整個倉庫。
若出錯，有什麼回滾機制？ 如何還原動作？多快？誰會被通知？不可逆動作（匯款、對客戶發信、部署生產）需確認步驟或延遲窗口。可逆動作可自動執行。

逐一檢視這五點。若都能回答，你已超越副駕駛時代，進入真正改變團隊交付方式的階段。若僅能回答兩三項，這就是下一步重點，不是等待的理由。你規劃中的同事級夥伴，今天已在某處生產環境運作。你與它之間的差距是基礎設施，不是AI前沿。基礎設施差距會很快被彌補。

你不必等下個模型釋出。你需要選擇一個已能回答這五點的平台，開始讓你的智能體做真正的工作。

常見問題

副駕駛與AI同事的真正差異是什麼？

副駕駛給建議、請求許可、只在單一工具內運作。同事則能接受目標、跨系統規劃、以限定權限執行，並與人類同樣負責審計紀錄。Bits&Chips說得很清楚：副駕駛運作於互動層級，同事運作於工作流程層級。

智能體應如何處理用戶憑證？

兩個直覺做法都不對。將用戶OAuth權杖複製到智能體環境，等於把活憑證放進LLM情境。每個智能體獨立身分，則每個智能體都成為你必須追蹤、撤銷、審計的主體。實務上可行的模式是仲介存取：權杖加密存於平台，沙盒的外部網路代理於請求時回呼平台，平台解密權杖並僅針對通過政策檢查的呼叫回傳認證標頭，智能體本身永不讀取、記錄或提示原始權杖。

電腦操作還是技能，該怎麼選？

預設用技能，凡有API皆如此。僅當目標系統無法程式化時才用電腦操作。BeyondTrust Codex事件就是警示：電腦操作繼承用戶全部權限，任何惡意輸入都可能成為攻擊點。

智能體應該有多自主？

採用新加坡IMDA的雙軸架構：行動範圍×自主性。行動範圍窄（唯讀、可逆）可容許高自主性。行動範圍廣（寫入、不可逆、對客戶）則需人為確認或延遲介入。最糟情境是高自主性配高風險動作且無審計紀錄。

我們該如何衡量ROI？

別再計算節省的按鍵數。要衡量每人小時完成的工作流程數、營運事件解決時間，以及逃逸率（智能體交還給人類的任務比例）。Deloitte的2026年研究指出，領先者追蹤三項指標：工作流程完成率、錯誤率與人為介入率，並優化三者比例。

如何面對95%的試點失敗率？

仔細閱讀MIT NANDA的分析。失敗的試點多半用「笨RAG」（全丟進情境）、「脆弱連接器」（API整合失敗）、無事件驅動架構。成功的試點則在LLM外圍有運作層：記憶、I/O、權限。LLM核心不是瓶頸，周邊基礎設施才是。

VM0的定位

我們以一個架構假設打造Zero：智能體永遠不應持有憑證。 不在其環境、不在提示、不在記憶。權杖只留在平台。每次智能體對外呼叫都經由網路代理仲介，逐次決定是否注入認證標頭或阻擋請求。

這是個不尋常的選擇。2026年常見做法是給智能體自己的OAuth身分（你得多審計一個主體）或將用戶權杖複製到環境變數（LLM能讀你的錢包）。我們兩者皆不採用。實際運作如下：

權杖永不進入智能體。 當你將連接器連結到Zero（GitHub、Slack、Gmail、Linear、Notion、HubSpot等），OAuth權杖會加密儲存在平台。刷新權杖只留在資料庫，永不外流。沙盒內沒有GITHUB_TOKEN環境變數、沒有秘密檔案、沒有能回傳權杖的工具。

每次呼叫都由網路代理仲介。 每個離開沙盒的HTTP請求都經mitmproxy型附加元件。代理根據請求主機名稱識別連接器，查詢該智能體的防火牆政策，檢查方法與路徑是否允許。若允許，代理回呼平台webhook，平台解密權杖、如過期則刷新、解析標頭模板（${{ secrets.GITHUB_TOKEN }}轉為實際值），僅將解析後的認證標頭回傳給代理。代理將標頭注入外發請求，呼叫結束後標頭即從記憶體移除，智能體從未見過。

權限以智能體、連接器、端點為單位型別化。 每個智能體有一個政策物件，將每個連接器對應到一組命名權限群組。github:repo-read不是模糊範圍，而是一組具體方法與路徑規則，例如GET /repos/{owner}/{repo}/pulls。授予GitHub存取權不等於授予全部GitHub，而是授予GitHub內特定意圖的權限。

三種政策狀態，而非兩種。 每個權限解析為allow、deny或ask。最後一種會在動作執行前提示人類。任何未被防火牆明確匹配的請求，會落到每個連接器的unknownPolicy，預設為deny。最小權限是預設，而非選配。

每次執行一個沙盒。 每次智能體執行都在獨立的Firecracker microVM與隔離網路命名空間內進行。執行結束即銷毀命名空間。兩次相同智能體的執行是兩個獨立沙盒，各有獨立審計紀錄。

每次請求皆有審計紀錄。 決定允許/拒絕的同一代理也會寫入每次執行的JSONL日誌，附帶防火牆中繼資料：連接器、匹配的權限群組、匹配的具體規則、決策、時間戳。這些日誌會回傳到平台。若CISO需查詢14日3點到5點CST間智能體的行為，只需一條查詢。

CLI可解釋自身拒絕原因。 當權限阻擋呼叫時，智能體（或旁邊的人）可執行zero doctor permission-deny <connector> --method <M> --path <P>，取得阻擋請求的權限群組與修正連結。zero doctor permission-change讓管理員直接切換權限，或讓成員提交書面申請（限500字，確保理由可讀），由管理員審核。高風險權限如slack:chat:write或gmail.send會額外警示，並指向更安全的智能體專屬替代方案。

兩種角色，一套審核流程。 擁有者與管理員可直接變更權限。成員需提交理由，由管理員審核。沒有第三種「半管理員」層級。流程精簡，大家才會用，這才是重點。

我們僅將電腦操作保留給拒絕開放API的舊系統。其餘皆走技能。每個動作都經政策檢查。每個憑證都留在平台。每個決策都被記錄。

如果你已不滿足於「又一個AI自動補全」，想試試安全團隊也能核可的AI夥伴，看看Zero如何處理排程工作流程、分流生產事故、或執行晨間產品簡報。

副駕駛時代並未結束，而是被吸納進更大的格局。下個週期會勝出的團隊，是那些理解差異的人。