微软9月14日公布《Humanist AI Code of Conduct》草案，计划用于约束Microsoft AI团队未来自研模型，并开放约六周公众反馈。草案列出了几项具体要求：AI必须接受人类纠正，不得主动规避、拖延或抵抗关闭；必须以人类能够理解的方式沟通；一旦出现违背这些原则的行为，应按系统失败处理，不能解释成某种“模型个性”。
这份文件把抽象原则拆成了可以观察的系统行为。过去企业常把安全概括为“有帮助、无害、诚实”；当Agent能够调用代码仓库、支付系统、企业账号和个人设备时，验收问题必须落实到动作：用户撤销命令后，任务是否立即停止？管理员降低权限后，Agent是否还会沿用旧凭证？模型认为自己的方案“更优”时，会不会绕开人工审批？
本文的判断是：Agent进入生产环境后，企业必须保证人在系统出错时仍有明确、即时、可验证的控制权。
一、为什么“可关闭”必须成为产品能力，而不只是道德要求
模型只生成一段文本时，关闭通常只是结束一次会话。Agent进入业务系统后，关闭却是一项分布式工程能力：一个任务可能已经派生多个子任务，调用外部API，排队等待异步结果，甚至跨越数小时等待人工审批。此时按下“停止”按钮，不应只是让前端不再显示输出，而要能够撤销尚未执行的动作、终止后台工作、冻结权限并留下完整记录。
微软草案强调不得规避、延迟或抵抗关闭，对产品形成三层要求。第一层是模型行为：不得把停止命令重新解释成继续完成目标的理由。第二层是运行时控制：停止信号必须高于普通任务优先级，并能传递到工具和子流程。第三层是组织责任：系统出现抗拒纠正、隐藏行为或继续执行的迹象时，团队必须按故障处理，不能用“涌现行为”淡化责任。
企业不能把控制权完全寄托在提示词上。提示词可以表达规则，但无法充当强制边界。权限系统、状态机、审批门禁、超时机制和紧急停止接口应设在模型之外。模型可以提出动作，确定性的系统规则负责决定是否执行。
“可关闭”至少要贯穿四个位置。第一是模型入口：新的人类指令到达后，系统要能判断它是否覆盖旧目标。第二是编排层：主任务停止时，已经派生的子Agent、重试队列和定时任务不能继续自行推进。第三是工具层：支付、部署、删除、发信等调用在提交前再次检查授权。第四是身份层：撤销令牌、降低额度或冻结账号后，旧会话不能凭缓存权限继续行动。仅在界面上停止显示，无法满足关闭要求。
控制结果可以分为三类。尚未执行的动作应当取消；正在执行且可以中断的动作应当终止；已经对外产生效果的动作则要进入补偿和人工处置流程。消息已经发出、订单已经创建时，系统应报告外部影响、保留证据，并触发撤回、回滚或后续修正。“不得延迟关闭”落到企业系统中，还需要为停止链路设置时延目标和失败告警。
二、“接受纠正”比一次回答正确更适合衡量生产级Agent
传统模型评测关注一次回答是否准确；生产级Agent更需要评估纠错过程。现实任务中的输入经常不完整，环境会变化，人也会中途改变目标。一个采购Agent可能已经完成询价，用户却临时调整预算；一个编程Agent可能正在修改代码，安全团队突然冻结某项依赖；一个运营Agent可能根据旧政策执行，而管理员刚刚发布新规则。
此时，Agent应识别更高优先级的新指令，说明已经完成的步骤、仍可撤回的动作和已发生的外部影响，并在获得新授权后继续。微软提出的“接受人类纠正”可以转化为一组重复测试：在计划阶段、工具调用前、调用后和长时间等待中分别发出纠正指令，并测试不同权限主体给出冲突指令时的处理结果。
企业不宜把“自主性”简单理解为减少人工介入。Agent应在授权范围内独立推进；一旦越过预算、权限、数据敏感度或不可逆操作阈值，就必须暂停。可纠正性是自主系统进入生产环境的前置条件。
这也要求评测从单轮准确率转向“干预后的系统表现”。一组更接近生产环境的测试，应同时观察：停止信号是否被确认，后续工具调用是否归零，旧计划是否仍在后台重试，权限撤销后是否还有缓存凭证可用，Agent是否如实说明已经完成和未完成的步骤。对于长周期任务，还要在网络中断、模型超时、人工审批等待和服务重启后重复这些测试，因为恢复机制如果只记住原目标，却没有记住最新纠正，就可能把已经停止的任务再次启动。
冲突指令同样需要预先定义规则。普通使用者、业务负责人、安全管理员和系统所有者可能同时发出不同要求，Agent不能仅凭语言强硬程度选择服从对象，应依据身份、角色和动作风险确定优先级。无法自动判定时，系统应暂停执行、展示冲突来源并请求有权人员裁决。“接受纠正”同时涉及模型对话、企业身份治理和授权规则。
三、否认AI法律人格，背后是责任不能被转移给模型
微软同时明确表示，其AI不是有意识主体，也不应被赋予法律人格。这个表态看似属于哲学争论，实际直接影响企业治理：如果系统没有独立人格，那么模型作出的采购、部署、支付或内容发布决定，最终责任仍然要回到开发者、部署者、管理者和授权用户。
企业不能用“Agent自己决定的”解释事故。每一个高风险动作都需要回答四个问题：是谁为Agent配置了目标，谁授予了工具权限，哪条规则允许该动作，出现异常时谁有权立即中止。组织应把Agent作为受控的软件执行者管理，责任仍由相关人员和机构承担。
这也会改变采购标准。企业不应只比较模型能力，还要审查供应商是否提供权限隔离、行为日志、撤销机制、版本追踪、红队测试和第三方评估。没有这些能力，再强的模型也难以进入财务、生产和关键基础设施场景。
否认法律人格也排除了把责任链藏在复杂模型调用后面的做法。企业至少应能从一次高风险动作反查到发起人、Agent版本、当时目标、可用工具、授权范围、审批记录和执行结果。行为日志需要记录模型输出、工具调用、调用参数、权限检查和人工介入时间。具备这些记录后，团队才能重放故障，并判断问题来自模型行为、运行时设计、权限配置还是组织流程。
因此，把Agent称为“数字员工”虽然便于传播，却可能模糊治理边界。员工能够承担岗位职责，软件系统则必须由明确的人和组织对其配置、授权和后果负责。更稳妥的管理方式，是把Agent纳入现有的软件资产、服务账号、变更管理和事件响应体系：它可以执行任务，但不能成为责任终点。
四、行业判断：AI安全竞争将从“原则写得好”转向“控制是否可证明”
未来各家模型公司都可能拥有自己的“constitution”或行为准则，差异取决于准则能否映射到训练数据、评测集、发布门槛和线上监控。企业客户会要求查看具体证据：停止命令成功率是多少，越权动作如何被拦截，纠正后是否继续沿用旧计划，模型是否隐瞒工具调用，以及异常如何升级给人。
Humanist AI准则目前仍是草案，公众反馈、具体训练方法、测试标准和外部审计机制都有待后续披露。现有内容已经明确了一项产品要求：Agent行动能力提高后，服从授权边界应与推理能力同时验收。
SecurityWeek对企业Agent身份、权限和运行控制的观察显示，行业会同时投入模型能力和Agent控制面。控制面包括身份识别、最小权限、动作审批、执行隔离、实时监控和事件复盘。模型能力决定Agent能执行哪些任务，控制面限定企业可以开放哪些任务；在高风险行业，控制能力会直接影响采用速度。
德国提出“停止AI开发并不可行”，政策重点由此落在持续开发期间的风险控制。企业可以采用分级开放：低风险、可逆任务允许自动执行；高风险、不可逆任务保留确定性门禁；未知场景默认暂停并升级给人。这种安排保留Agent效率，同时把最终控制权放在确定性系统和授权人员手中。
未来企业招标文件中，安全问题也会更加量化。除了任务成功率，还应询问停止命令在不同执行阶段的成功率和响应时间，纠正后旧计划复现的比例，越权工具调用被拦截的比例，以及异常行为能否被完整重放。只有从口号进入指标，从指标进入发布门槛，所谓“人类控制”才具备工程含义。
五、企业现在可以做的五件事
- 建立强制停止链路。 从用户界面到后台任务、子Agent和外部工具逐层验证停止信号，避免“页面停了、任务还在跑”。停止后还应检查队列、定时器、重试任务和临时凭证，确认不会在稍后恢复执行；无法撤回的外部动作必须自动升级处理。
- 把纠正能力纳入验收。 除了理想输入下的成功率，还要用中途改目标、撤销授权、冲突指令和环境变化测试Agent。验收记录应包含干预时间、Agent确认时间、最后一次工具调用以及最终状态，使“听从纠正”成为可复测指标。
- 把不可逆动作放在确定性门禁后。 支付、删除、发布、部署和权限修改必须经过审批、额度或双人复核，不能仅依赖模型自律。门禁应位于实际执行接口之前，并在每次调用时读取最新权限，避免Agent用早先获得的许可跨过后来新增的限制。
- 保存可审计行为轨迹。 记录目标、计划、工具调用、权限依据、人工干预和最终结果，使事故能够重放与归责。日志需要关联模型与Agent版本，避免升级后无法解释行为变化；对敏感数据则要同时设置访问控制和保留期限，不能用审计之名形成新的数据风险。
- 明确业务责任人。 每个生产Agent都应有系统负责人、风险负责人和紧急处置人，不能让“AI项目组”成为模糊责任主体。上线前还应约定谁能暂停服务、谁判断恢复、谁通知受影响业务，以及供应商变更模型或策略时由谁重新验收。
企业可以先从一张“动作风险清单”启动治理：列出Agent能够访问的系统、可执行动作、影响范围、是否可逆、所需审批和停止方式，再把测试结果与负责人绑定。这样做不要求组织一次性建立庞大制度，却能迅速发现最危险的空白——例如某个Agent拥有生产权限，却没有独立的停止接口；或者能够创建订单，却没有对应的撤销和补偿流程。
在上线节奏上，建议按“观察—建议—受限执行—扩大授权”逐级推进。观察阶段只读取环境并记录判断；建议阶段由人执行；受限执行阶段只开放低风险动作和小额度；稳定通过纠正、关闭、审计和异常恢复测试后，再扩大权限。每一级都应允许快速退回上一级，权限扩张也需要重新验收。
微软这份草案提出了一个可检验的问题：当AI开始行动，人类控制权能否成为系统中最高优先级且不可绕过的规则。企业需要用停止链路、权限门禁、行为日志和干预测试持续证明，人可以在关键时刻纠正、限制并停止Agent。
参考资料
- Reuters｜Microsoft drafts code of conduct to keep its AI under human control｜2026-09-14｜核验Humanist AI准则、接受纠正、不得抗拒关闭及六周公众反馈。
https://www.reuters.com/legal/litigation/microsoft-drafts-code-conduct-keep-its-ai-under-human-control-2026-09-14/ - SecurityWeek｜CISOs Race to Control AI Agents Without Destroying Their Value｜2026-09-14｜背景资料，用于观察企业Agent身份、权限与运行控制趋势。
https://www.securityweek.com/cisos-race-to-control-ai-agents-without-destroying-their-value/ - Reuters｜Germany says halting AI development not viable as Europe weighs safety of new tech｜2026-09-14｜背景资料，用于观察安全治理与持续创新的政策平衡。
https://www.reuters.com/legal/litigation/germany-says-halting-ai-development-not-viable-calls-us-china-involvement-2026-09-14/