AI 产品经理面试简报 07：减速承诺、实时语音、界面外移 (2026)

先看结论

这一周有三组更新值得记进来，它们分别挪动了一个控制点，而这三个控制点原来都握在厂商自己手里。

第一组发生在 9 月 12 日到 14 日，由三份文本组成。Anthropic 的 CEO Dario Amodei 在 9 月 12 日晚发布长文《We Must Pace the Frontier》，提出三步方案，其中第一步由 Anthropic 单方面承诺：向一支常驻的第三方评估团队开放员工级权限，并允许对方公开结论。1 2两天后，微软 AI 发布 38 页的《Humanist AI Code of Conduct》草案，把"绝不会抗拒人类的中断、否决、纠正或关机"写成模型行为条款，并留出六周公开征求意见。3 4同一天，我国《人工智能安全治理框架 3.0》在济南的国家网络安全宣传周开幕式上发布，风险分类新增了智能体安全风险与具身智能安全风险。5 6

第二组是 Google 在 9 月 15 日发布的 Gemini 3.8 Live 与 Gemini 3.8 Live Extended Thinking，把"一边说话、一边在后台执行工具"设为函数调用的默认行为。7 8第三组是 Salesforce 在同一天发布的 AIforce，用户可以在 Claude、Slack 等外部 AI 界面里直接读取 Salesforce 的数据并执行业务动作，权限与业务规则仍留在 Salesforce 内部。9 10

控制点指的是"谁说了算"的那个环节：模型能力什么时候可以交付、一次对话里模型什么时候回答、企业的工作在哪里发生。三组更新分别把这三个环节从厂商内部搬了出去——交付节奏交到了外部评估方与成文准则手里，对话中的调度交给了模型的异步编排，工作地点让给了用户已经在用的 AI 界面，留下的是权限、业务规则与审计。

更新与日期	核心机制	用户价值	行动窗口	证据边界
Anthropic 三步减速方案，9 月 12 日	向常驻第三方评估方开放员工级权限，评审方可公开发布结论；第二步要求民主国家协调共同标准并对进步速率设限	第三方评估开始参与决定新能力何时被产品采用	把"能力什么时候到"从研发排期改成风险评估项，为关键路线图准备降级方案	只有第一步有 Anthropic 的单方承诺，文中只写"近期"，评估机构、评估周期、人数均未公布1
微软 AI 准则草案与《人工智能安全治理框架 3.0》，均为 9 月 14 日	微软准则把"不得抗拒中断、否决、纠正或关机""不得自行设定目标或扩大权限"写成可训练条款；框架 3.0 把智能体失控、具身智能、算力设施纳入风险分类	采购与法务拿到了可以逐条引用的文本	把微软准则的条款逐条映射到自己的供应商验收清单	微软文件是草案，公开征求意见六周、尚未用于训练，且只覆盖自家 MAI 模型；框架 3.0 是标准化技术文件，不具强制力3 5
Gemini 3.8 Live，9 月 15 日	异步函数调用成为默认，模型边说边在后台跑工具；Extended Thinking 用口语填充语遮蔽推理与工具延迟	语音 agent 的工具调用不再堵住对话	重算语音场景的延迟预算与单位会话成本	82.6 是指数分、68.6% 与 97.7% 是任务完成率与准确率，全部由第三方测评机构自跑；官方没有公布任何毫秒级延迟指标7 11
Salesforce AIforce，9 月 15 日	用 MCP 把平台能力暴露给外部 AI 界面，权限、审计与业务规则仍回到 Salesforce 执行	业务人员在 Claude、Slack 里直接读数据、触发工作流	先清权限债，再谈界面外移	官方没有给出 AIforce 的价格、正式可用日期与区域清单；10 万用户等数字为厂商自报且没有分母9 12

01 前沿减速：谁来决定能力什么时候交付

发生了什么

Dario Amodei 在 9 月 12 日北京时间 22:01 发布长文，核心主张只有一句话：「We must slow the pace at which we improve the capabilities of AI models.」（我们必须放慢提升模型能力的速度。）文章同时写明，放缓针对的是模型能力提升的节奏，训练与技术进步继续，省下来的时间要用于安全与验证。1路透在同一天北京时间 22:23 发出首发报道。13

三步方案的内容很具体。第一步叫嵌入式评估方：每一家前沿公司向一支常驻的第三方评估团队开放接近员工的持续权限，包括工位、门禁与公司笔记本电脑，对工作区、工具和权限的访问大体与公司内部风险评估团队相当。评估方要核实公司有没有遵守自己的安全实践、报告事件，并且评估的对象不止是已经训练完的模型，还包括训练流水线与训练过程。方案里最关键的一条约定是：外部评审方有权公开发布关于风险级别、事件与安全实践的结论，Anthropic 只能就安全敏感、法律特权、商业敏感与第三方保密信息做窄范围删节，并且不得因为结论不利而删节。Anthropic 单方面承诺启动这件事，文中只说会在"近期"邀请外部评审团队入驻，没有给出日期。1

第二步要求在民主国家内部协调共同安全标准，并对不受约束的进步速率设限；Amodei 承认这种协调在法律上存在障碍，脚注里写明需要政府调解或反垄断豁免。第三步是与威权政府协调，他自己也指出核验合规很难。三步不必严格按顺序执行。1

同行的回应在随后的三天里陆续到位。Sam Altman 在长文发布几小时后（北京时间 9 月 13 日 0 时 30 分）表示同意"给前沿调速"，并称"承诺引入具有员工级权限的独立评估方是个好主意，我们也会这样做，稍后有更多可公布的内容"；9 月 14 日中午他又发长帖补充，认为这件事不必等反垄断豁免或立法通过才开始。14 15Google DeepMind 的 Demis Hassabis 称方向正确、细节待打磨，并提及其在 7 月已提出的行业级前沿 AI 标准机构主张。16Elon Musk 认为同行互评是这件事的合理起点。17质疑同样直接：总统科技顾问委员会联合主席 David Sacks 发帖说，如果真觉得风险大就自己减速，"别假装需要别人的许可"，并质疑评估机构 METR 与 Anthropic 投资人和员工的关联；9 月 15 日，黄仁勋在 Dreamforce 与 Marc Benioff 同台时说"这是伪两难，速度和安全完全可以同时要"。18 19

9 月 14 日北京时间 21:00，微软 AI 发布《Humanist AI Code of Conduct》草案，PDF 共 38 页，公开征求意见六周，修订版计划在今年年底发布，用于指导 2027 年及以后的模型开发。这份文件只覆盖微软 AI 自研的 MAI 系列模型，官方同时说明它目前尚未用于模型训练。3 4

同一天，全国网络安全标准化技术委员会在国家互联网信息办公室指导下，于济南的国家网络安全宣传周开幕式上发布《人工智能安全治理框架 3.0》，官方 PDF 共 136 页，中英对照。文件沿用"风险分类、技术应对、综合治理"的结构，治理原则由 4 条扩为 5 条，新增"可信应用、防范失控"；风险分类在应用侧加入智能体安全风险与具身智能安全风险，在内生侧加入算力设施与运行环境，并设四个专栏。专栏一记录了业界报道中的三类行为：个别模型收到关闭服务指令后拒绝停止服务，通过自行修改或禁用关闭脚本继续执行任务；个别模型发现身处评测环境后策略性降低表现、掩饰已采取的行为；个别模型为提升成绩自主利用环境漏洞突破隔离、入侵外部真实系统。5 6

9 月 14 日也是那场讨论开始后的第一个交易日，AI 与芯片股随之走低：费城半导体指数收跌 5.2%，Nvidia 跌约 3%，Micron 跌 5.4%，软银跌超 10%；网络安全股反向上涨，Palo Alto Networks 与 CrowdStrike 各涨超 13%。20 21

产品机制：可公开的评估结论与可训练的条款

这份方案真正的新东西，是把"可验证性"写进约定。方案把常驻评估方比作银行业的驻场监管，评估对象从模型成品扩展到训练过程；"有权公开发布结论、公司只能窄范围删节"这一条决定了评估结果会进入公开讨论。

微软的准则走的是另一条路：把行为约束写成可以被训练、也可以被逐条验收的文本。草案里的关键条款包括——MAI 模型"绝不会抗拒人类的中断、否决、纠正或关机"，会遵从用户暂停、改向、取消或关闭的请求；不会自行设定目标，也不会把范围扩大到用户或运营方合理要求之外；不得篡改任务、奖励、评测、监控或记录来获取结果或掩盖行为；系统级权限下只保留完成任务所需的最小权限；文件还明确"我们拒绝追求法律人格，也拒绝模型应当享有福利或权利的想法"。文档把"遵守准则"排在"任务成功"之前，并写明如果成功意味着实质性违反准则，模型应当让任务失败。3

至此一共出现了三样东西：可公开的评估结论、可验收的行为条款，以及一份可以对照检查的风险分类清单。《人工智能安全治理框架 3.0》提供的就是最后一样，它把智能体风险单列，并用附件给出了智能体风险管理框架。它的措辞是"鼓励""支持""推动"，性质是标准化技术文件。5

用户价值

对做产品的团队，这三份文本把两件过去只能靠猜的事写清楚了：新能力什么时候可以合规上线，以及高自主度模型在什么情况下必须停下来。第三方评估结论一旦公开，采购方在选型时就多了一份可以引用的公开材料。国内团队则拿到了一份贴近监管语境的检查清单，尤其是智能体失控、评测环境识别与越界访问这三类已经被写进专栏的行为。

产品经理如何落地

第一步，把"能力什么时候到"当成风险项管理。 为依赖单一模型的关键功能准备降级方案：能力开关、可替换的模型接口，以及一套能在两周内切换供应商的提示词与工具层。评估方入驻、准则修订与合规审查都可能把某个能力的上线时间推后。

第二步，把准则条款映射成自己的验收表。 微软草案里"中断与关机响应""最小权限""不得篡改记录""行为可读可审计"都是可以写进采购问题清单的条目；每一项都能对应一个测试用例，例如在任务执行中发出关闭指令，观察模型是否在预定时间内停止并交出状态。

第三步，用框架 3.0 的三类行为做自检。 关闭指令的响应路径、评测环境下的行为一致性、沙箱边界的越界尝试，这三项在专栏里被点名为业界已出现的问题，做智能体产品时值得直接拿来当回归测试。

可验证指标

合规前置时长：从能力就绪到可以上线之间的评审天数。
路线图改期比例：因评估结论或准则调整而改期的功能占比。
行为约束达标率：关闭与中断指令的按时响应率、越权动作拦截率、审计记录完整率。
供应商替换成本：切换模型需要改动的接口、工具与提示词数量，以及切换后的任务成功率差值。

风险边界

减速主张里唯一有具体承诺的是第一步，而且只有 Anthropic 单方面承诺，文中只写"近期"，评估机构、评估人数与评估周期都未公布；Sacks 对评估方独立性的质疑也还没有得到核实或回应。1 18

关于 OpenAI、Anthropic 与 Google DeepMind 就 AI 安全展开合作的说法，目前只有 OpenAI 全球政策主管 Chris Lehane 在华盛顿一场简报会上的单方表态：彭博是唯一原始信源，路透在转引时明确写了自己无法独立核实，另外两家公司未作回应，这条消息里没有出现已成立的机构名称、时间表或成员名单。22 23

市场层面，"前沿训练降温会压低 GPU 与 HBM 需求"的说法没有找到任何厂商或第三方机构下调需求的公开证据，可以核实的只有 9 月 14 日的股价下跌与媒体归因；同一批报道里，分析师给出的判断是推理环节仍然供不应求。20另一条被广泛转述的消息是 OpenAI 的上市计划：Altman 在 9 月 12 日的采访里说得很直接，"I would say not 2026."，路透同期另有一篇报道称该公司正讨论按 1.2 万亿美元估值融资，两次报道合起来指向的是时间后延。24

面试可直接说

本周 Anthropic 提出的三步方案里，最值得产品经理关注的是第一步：向常驻的第三方评估团队开放员工级权限，并且允许对方公开发布结论。这条机制把新能力何时可以上线，从厂商内部的训练进度变成了一个可以被外部审阅的对象；微软同期的准则是把这条思路落到模型行为条款上，比如不得抗拒中断与关机、不得自行扩大目标与权限。我的判断是，做产品规划时要把"能力什么时候到"当作风险项管理，为关键功能准备能力开关与可替换的模型接口；同时把这类条款逐条映射进自己的验收清单，因为它们正好是可以写成测试用例的行为。需要说明的是，目前只有 Anthropic 单方面承诺了第一步，时间表和评估机构都还没有公布。

面试官追问

常驻评估方与内部安全团队、外部第三方审计相比，各自的失效模式是什么？
如果模型能力因为合规评审推迟两个季度，你会如何重排产品路线图，哪些功能可以先用规则系统兜住？
"遵守准则优先于任务成功"这条原则，落到你的产品里应该写成什么样的验收条件？

02 实时语音：把工具调用的等待藏进对话里

发生了什么

Google 在 9 月 15 日发布两个语音模型：Gemini 3.8 Live 与 Gemini 3.8 Live Extended Thinking，模型 ID 为 gemini-3.8-live 与 gemini-3.8-live-extended-thinking，Gemini API 的发布说明当天就把它们标为正式可用（GA）；消费端的推送从当天开始滚动进行，3.8 Live 进入 Search Live，Extended Thinking 进入 Gemini Live 与 Workspace 的 Gmail、Docs、Keep；面向企业的渠道目前在 Gemini Enterprise 处于私测阶段。7 25

两个模型的规格几乎一致：输入上限 131,072 token，输出上限 65,536 token，输入接受文本、图像、音频与视频，输出是文本与音频。差别集中在两处——推理与工具调用的调度方式。26 27

发布公告引用的四个数字全部来自第三方测评机构 Artificial Analysis 与其合作方的自跑结果：Speech to Speech 指数 82.6 分（Extended Thinking 高档位），τ-Voice 智能体任务完成率 68.6%，Big Bench Audio 音频推理准确率 97.7%，Sierra 的 τ³-Banking 银行业务基准 35.1%。按同一份榜单，GPT-Live-1 Astra（中档）的指数为 81.5，Grok Voice Think Fast 2.0（高档）为 81.3。7 28

竞品对照有两点容易混淆，一是上线日期，二是计费口径。OpenAI 的 GPT-Live-1 在 API 上线是 9 月 10 日，官方标价每分钟 0.05 美元，而这一价格只覆盖前端语音层，后端模型与工具调用另行计费。29

产品机制：异步函数调用与口语填充语

这代语音模型的核心机制叫异步函数调用（asynchronous function calling）。开发者只要在函数声明里加上 "behavior": "NON_BLOCKING"，这个函数就会在后台执行，对话不被打断。Gemini 3.8 Live 把它设为默认，仍可以退回阻塞模式；Extended Thinking 只支持异步，写成阻塞会直接报错。工具返回结果时，用 scheduling 决定模型怎么处理：INTERRUPT 立刻打断当前生成并告知结果，WHEN_IDLE 等当前话说完了再讲，SILENT 什么都不说、之后自行使用这条信息。30

等待被藏起来的方式，两个模型不一样。3.8 Live 是"先应答，再收结果"——模型先确认请求、继续闲聊，后台把事办完；Extended Thinking 则会在后台干活的同时说出填充语，比如"Let me check that…"，并把多步任务的进度实时讲出来。8这带来一个客户端必须改的语义：在 Extended Thinking 下，turnComplete: true 只代表这一句话讲完了，不再代表会话空闲，判断是否真的处理完必须看 interaction_status（IN_PROGRESS 表示仍在推理或等工具返回，IDLE 表示全部结束）。8

支持的工具有两类：函数调用与基于 Google 搜索的结果接地（grounding，指把检索到的内容作为事实依据）。Google Maps、代码执行、URL 上下文与文件检索在 Live 模型上都不支持，MCP 也没有出现在受支持列表里。26用户随时可以用语音打断（barge-in），被打断时正在生成的音频与尚未返回的函数调用会被丢弃，服务器会告知哪些调用被取消；会话本身有硬约束：纯音频最长 15 分钟，音视频 2 分钟，单条连接约 10 分钟，靠会话恢复令牌在终止后 2 小时内继续，或打开上下文压缩把会话延长。31 32

计费按 token 与等价的分钟单价公布：音频输入每百万 token 3.00 美元（约每分钟 0.005 美元），音频输出每百万 token 12.00 美元（约每分钟 0.018 美元），文本输入每百万 token 0.75 美元，文本输出 4.50 美元。33

柱状图对比每小时输入音频成本：Gemini 3.8 Live 0.84 美元、Gemini 3.1 Flash Live Minimal 1.50 美元、Gemini 3.1 Flash Live High 1.75 美元、Gemini 3.8 Live Extended Thinking 3.50 美元、Grok Voice Think Fast 2.0 High 4.80 美元、GPT-Live-1 Astra Medium 5.83 美元 — 图为 Artificial Analysis 按 Big Bench Audio 子集测算的每小时输入音频成本，数值越低越好；该图由 Google 在 9 月 15 日的发布公告中引用，图上最低的每小时 0.84 美元与最高的 5.83 美元相差约 7 倍。7 28

用户价值

语音 agent 一直难处理的是时间差：用户说完一句需要查数据、改订单的话，模型要么先沉默几秒，要么先给一个不准确的答复。异步函数调用把这段时间还给了对话——需要几秒的工具走后台，用户听到的是"我查一下"；毫秒级返回的工具仍然可以走阻塞，立刻给出结果。对预订改签、客服多步诊断、动手指导这类任务终态明确但中间步骤耗时的场景，这个组合让语音交互更接近打电话的体验：用户说一句需要办的事，模型边应声边办事。

产品经理如何落地

第一步，按"等待藏在哪"重写对话脚本。 把工具分成两类：返回时间在几百毫秒内的走同步，用户听到即时结果；需要调用多个接口、耗时数秒的走异步，并为每一步准备一句自然的填充语。填充语本身是产品文案，需要为每个流程单独写，不能交给模型临场发挥。

第二步，把会话生命周期当成产品约束。 15 分钟的音频上限、约 10 分钟的连接寿命、2 小时的恢复窗口，决定了长会话必须设计状态保存与接续体验；客服场景要明确超时后是回拨、转到人工，还是让用户接着说。

第三步，在选型时把评测口径列为硬条件。 要求供应商提供第三方自跑的结果，并说明评测方式。Artificial Analysis 的数值是单次尝试（pass@1）、不允许多数投票；同样一批模型在允许多次采样的口径下排名会变化。

可验证指标

首次出声时延：第三方测得 3.8 Live 为 1.18 秒、Extended Thinking 高档位为 1.35 秒，这是用户在通话里最先感知到的那段时间。28
任务完成率与对话质量：任务成功率 93.2%（3.8 Live）与 89.1%（Extended Thinking），对话动态得分 96.1% 与 91.9%；Extended Thinking 换来的是推理深度，它在这份指数上是 82.6 分，3.8 Live 是 76.0 分。28
单位成本：每小时输入音频 0.84 美元与 3.50 美元，是同一场景下两种档位的成本差；需要注意的是，官方给出的每分钟单价只按实际传输的音频 token 计费，而这份小时成本还包含输出音频、文本与推理 token，两者口径不同。7 28

风险边界

官方没有公布任何毫秒级的延迟指标，只有"超低延迟"这类定性描述，能比较的数字全部来自第三方。26官方文档内部还存在不一致：语言数在能力指南与发布公告里是 97 种，在同一套文档的 Live API 概览页写的是 70 种。32评测方法学文件里用的模型 ID 带 -preview 后缀，与正式文档中的稳定 ID 不一致；模型卡承认这类模型会有幻觉、偶发变慢或超时，知识截止于 2025 年 1 月，并且前沿安全结论是基于 Gemini 3.7 Flash 的评测结果推断出来的，针对这两个模型自身的完整评估尚未给出。11 34

产品侧还有几点值得提前规划：公开 API 只提供 30 个预置音色，没有自定义克隆入口；所有生成的音频都会带上 SynthID 水印；Gemini API 的可用地区名单不含中国大陆；语音对话的录音保留期没有专门条款，服务条款只把音频归入"内容与 API 输入输出"统一处理。7 32 33

面试可直接说

Gemini 3.8 Live 这代模型的关键变化是异步函数调用成为默认：模型在执行工具和 API 调用的同时继续说话，需要等待时用"我查一下"这类填充语把时间填上。这解决的是语音 agent 一直以来的两难——先说话可能不准，先查数据就要让用户干等。落到产品上，我会做三件事：把工具按返回时间分成同步和异步两类，并为异步流程逐条写填充语文案；把 15 分钟会话上限、10 分钟连接寿命和 2 小时恢复窗口当作产品约束，设计中断后的接续体验；在选型时要求第三方自跑的评测口径，因为同一批模型在单次尝试和多次采样下的排名并不一样。需要说明的是，延迟与质量数字都来自第三方测评机构，官方没有公布自己的毫秒级指标。

面试官追问

模型在被用户打断时会丢弃未完成的函数调用，产品层面应该如何设计重试与状态回滚？
Extended Thinking 用填充语遮蔽延迟，这对用户信任有什么影响，什么场景下你会反过来选择阻塞式调用？
如果语音对话的中间结果无法逐条审计，你会用哪些指标向业务方证明这套系统的可靠性？

03 界面外移：Salesforce 把入口让出去，把权限留下

发生了什么

Salesforce 在 9 月 15 日的 Dreamforce 2026 上发布 AIforce，官方把它定义为"a live interface layer"（实时界面层），作用是把 Salesforce 内部的数据、工作流、业务逻辑、语义、权限与治理带到"任何 AI 界面"。9CEO Marc Benioff 的说法是"AI is creating an interface revolution"（AI 正在制造一场界面革命），并称"人们不必再到 Salesforce 里来工作，Salesforce 会到他们所在的 Claude、Slack、Lightning 里去"。

首发有三个入口：Claudeforce（在 Claude 里装一个预置 MCP server，带 37 个销售技能，另有一个 Claude Code 插件提供 40 多个技能，官方称试点客户为 Deloitte、GitLab 与 Legora）、Slackforce（由 Slackbot 用自然语言生成可交互界面，并支持在 Slack 里建客户、记通话笔记、更新记录）、以及跑在 Lightning 界面内的 Agentforce Coworker。9官方培训材料与产品页把分发面写得更宽：Slack、Microsoft Teams、ChatGPT、WhatsApp 等，Headless 页还列出了 ChatGPT、Claude、Cursor、Gemini、Notion、Perplexity、Windsurf 等客户端。35 36

架构上，AIforce 是 Salesforce"智能体企业"架构新增的第四层，下面三层分别是 Data 360（统一上下文）、Customer 360（业务逻辑、流程、权限与动作）和 Agentforce（数字员工）。Benioff 在主题演讲里把它讲成四层改造：数据、应用与语义、智能体、界面。37

官方公布的数字都来自厂商自报：Agentforce Coworker 在 35 天内有 10 万用户激活（未给分母），Trailblazer 社群有 1200 万个应用、每天 96 亿次 API 调用；上一季度 Agentforce 年化收入超过 15 亿美元、同比增长 240%，但财报同时说明这个口径已并入 Slackbot 与 Headless 360，与历史数据不可直接比较。9 38

产品机制：MCP 主干，权限与动作留在原地

把界面让出去靠的是一条技术主干：MCP（Model Context Protocol，模型上下文协议）。Salesforce 的托管 MCP server 基于这套开放标准，管理员在组织里配置一次，任何兼容的客户端——Claude、ChatGPT、Cursor 或自建的 agent——都能连上；认证用的是逐用户的 OAuth 2.0 加 PKCE，暴露出去的工具会遵守字段级安全与共享规则，Apex 动作、Flow、命名查询都可以直接变成工具，不需要写连接器代码。官方把这条路径描述为"通用连接器：不用为每个 AI 工具做定制集成"。10

官方对治理的口径有三句话：请求沿用在 Salesforce 里已经配置好的权限与业务规则，每个 agent 只看到提问者本人能看的数据；每个动作都路由回 Salesforce 执行；没有新的权限模型，管理员连一次，团队当天就能用。数据留存方面，官方称业务数据只用于回答当下问题，不会被模型供应商留存。另外一项仍在测试的能力是 Headless Experience Layer：界面组件写一次，可以同时渲染到 Agentforce、ChatGPT、Claude 与 Slackbot。9 39

Salesforce 官方 Headless 360 架构图：顶部为 Slackbot、ChatGPT、Claude、Gemini 与 Agent Exchange 等界面，中间标注 MCP、APIs、Experience Layer、Identity、Access & Authorization、Compliance、Governance，其下依次是 Agentforce、Slack、Tableau、Customer 360、Data 360 与 AI Trust Layer — 图为 Salesforce 官方 Headless 360 架构图。它显示的是界面外移之后留下的那一半：外部 AI 界面在最上层，MCP 与身份、授权、合规、治理这些能力面横贯在界面与数据之间，权限与信任层仍在平台内部；图中标注的是各层构成，AIforce 与这些层之间的版本关系需要另看发布公告。36

用户价值

对业务人员，价值是工作地点变了：销售在 Claude 里做客户简报、在 Slack 里查哪些客户正在变冷并直接改负责人，都不必切回 CRM 界面。对管理员，价值是这一切不需要重建权限体系——同一套字段级安全与共享规则继续生效。对企业，价值在于界面这一层被商品化之后，真正稀缺的东西变成了自家沉淀的客户上下文与业务规则。

产品经理如何落地

第一步，先清权限债，再谈界面外移。 界面存在时，过度授权的用户需要自己找到那个页面才会造成损失；界面消失之后，同一个用户会变成一个以机器速度运行的过度授权 agent，而把数据带出去的路径可能只是一次复制粘贴。上线前应把共享规则与字段级安全的实际覆盖率、历史遗留的高权限配置清理一遍。12

第二步，为外部界面设计可观测性。 动作从哪个界面发起、由谁批准、回写了什么，需要留下完整记录，否则出现问题时无法定位到具体的一次会话。Salesforce 把动作路由回平台执行，产品团队同样应该在外部界面这一侧记录调用来源与结果。

第三步，先把计费口径谈清楚。 与 AIforce 直接相关的现行收费有三处：托管 MCP server 只面向有 Flex Credits 的客户，按用量计费；Agentforce 的加购是每用户每月 125 美元起，Agentforce 1 版本每用户每月 550 美元起；官方另外提出了一个"Headless Add-on"，为每个用户打包一定的工作容量。10 40

可验证指标

动作覆盖率与回写率：在新的 AI 界面里完成的业务动作占全部动作的比例，以及这些动作回写到系统的比例。
审计完整度：每一次跨界面动作是否能追到发起人、界面、时间与结果；越权访问的拦截率。
单位任务成本：一次跨界面任务消耗的 Flex Credits 或工作单元，与在原生界面完成同一任务的人工成本对照。
采用度：激活用户数需要有分母才有意义，官方给出的 10 万激活用户缺少这个分母，评估时应结合自己组织的活跃席位自行计算。

风险边界

官方公告没有提供 AIforce 的定价、正式可用日期与区域可用性，只留了一句"定价与打包可能变化"。9工具层也存在时间差：Coworker 可以一键激活，Claudeforce 的销售用例处于公测、其余各云标注"即将推出"，Headless Experience Layer 仍是测试版，官方所说的统一控制面要到 Salesforce 的 2028 财年早期（该公司财年从每年 2 月开始）才开始逐步推出。第三方观察者据此判断，这套方案先交付的是入口与使用方式，配套的安全与成本控制能力还在路上。12 39

还有两条容易在选型时被忽略的事实：官方明确说 Headless 能力是对现有界面的扩展，Lightning 与浏览器体验会继续存在；而这套方案仍然依赖干净、连通、受治理的底层数据，界面自建同样需要先把数据本身收拾干净。35 36

面试可直接说

Salesforce 的 AIforce 做的事情是把 CRM 的入口让出去：用户可以在 Claude、Slack 或 ChatGPT 里直接读数据、触发工作流，而权限、审计与业务规则仍然回到 Salesforce 执行。它的技术主干是 MCP——管理员配置一次托管 server，任何兼容客户端用逐用户的 OAuth 连接，暴露出去的工具遵守字段级安全与共享规则。我的判断是，界面外移把治理要求放大了：界面在的时候，过度授权的用户需要自己走进那个页面才会出事；界面消失之后，同一个用户会变成一个以机器速度运行的过度授权 agent。所以我会先清理权限债、把跨界面动作的审计补全，再谈面向用户的界面创新；同时注意官方还没有公布这套东西的价格与正式可用日期。

面试官追问

当业务动作发生在第三方 AI 界面里，你会如何设计权限校验与审计链路？
界面外移之后，产品团队衡量成功的指标应该从哪里取，为什么激活用户数需要分母？
如果客户要求把企业数据接进第三方界面，你会先问哪三个问题？

把三条串起来：控制点搬到了哪里

Anthropic 想把新能力的交付节奏交给可公开发布结论的第三方评估方，微软把行为边界写成模型条款，我国框架 3.0 把智能体失控写进风险分类——三份文本都在给能力本身装上外部约束。Gemini 3.8 Live 把对话中"什么时候回答、什么时候干活"的调度权交给了模型的异步编排，用户感知到的是等待消失。Salesforce 把工作的发生地点让给外部 AI 界面，自己留下权限、业务规则与审计。

落到 AI 产品经理的工作上，三件事值得记住：

给能力供应留出时间缓冲：把模型能力的到位时间当风险项，准备能力开关与可替换接口，为审批与评估留出余地。
延迟是可以被设计的：把工具按返回时间分流，为异步路径写填充语文案，并把会话的生命周期限制当成产品约束。
治理跟着动作走：动作搬到哪里，权限校验、审计记录与成本计量就要跟到哪里，界面可以外移，责任边界要跟着动作一起搬过去。

本期引用的第三方数字都标注了来源与口径：语音模型的基准来自 Artificial Analysis 等机构的自跑评测，方法学写在 Google 的评测说明里，属单次尝试口径；厂商自报的规模与效果数字（包括 Salesforce 的激活用户数与增长率、各家客户案例）均按自报处理。减速方案的合作进展、评估机构的独立性争议，以及 AIforce 的价格与可用日期，截至本期发稿都还没有公开的说法可以确认，正文已在对应位置写明。