AIforce、六份失准报告、MCPA 考纲：本周三条 Agent 更新都落在权限上

2026 年 9 月 11 日到 9 月 18 日，Agent 领域的三条更新分别落在理解地图的三块上。Salesforce 在 Dreamforce 上发布 AIforce，把企业软件里的数据、业务逻辑和权限做成 Agent 可调用的接口层，落在 ⑧产品形态与落地；OpenAI 公布失准披露框架和六份具体报告，把 Agent 越权的现场细节摆到台面上，落在 ⑤环境与状态、⑥权限、安全与熔断；Linux Foundation 旗下的 Agentic AI Foundation 发布 MCPA 认证，把 MCP 的权限与信任边界写进考纲，落在 ④工具与协议。

三条各自回答一个与权限有关的问题：企业软件愿意把哪些权限借给 Agent，Agent 会给自己开通哪些没人批准的通道，行业又用什么标准认定一个人懂这条线。

（对应地图 ⑧产品形态与落地）

发生了什么： Salesforce 在 2026 年 9 月 15 日的 Dreamforce 上发布 AIforce，官方给它的定位是「实时接口层」，作用是把 Salesforce 里的数据、工作流、业务逻辑、语义、权限、安全与治理，送到人和 Agent 工作的任何界面里。首发三个产品：Claudeforce 把 Salesforce 打包成一个预置的 MCP server 放进 Claude，随附 37 个开箱可用的销售技能，Deloitte、GitLab、Legora 试点之后向全部客户开放 beta；Slackforce 把 CRM 能力搬进 Slack，同时推出让团队在同一会话里协作写代码的 Slack Code；Agentforce Coworker 嵌在 Lightning 界面内，直接调用企业已经部署好的 Agentforce 智能体。数字方面，Coworker 上线 35 天内激活用户达到 10 万；Fulton Bank 用几周时间从零做到 20 多个生产用例，覆盖约 3000 名员工。1

机制是什么： 过去企业要让 Agent 用上 CRM，常规做法是替它建一套账号和集成。AIforce 把三件事留在 Salesforce 这一侧。权限继承：每个请求都跑在提问者已有的权限和业务规则上，Agent 能看到的就是这个人本来能看到的记录。动作回流：Agent 发起的写操作路由回 Salesforce，落在原系统里。语义供给：Data 360 提供统一的数据与记忆，Customer 360 提供业务逻辑、流程和可执行动作。支撑这套机制的是 Headless Toolkit，它把平台上的元素以 MCP、API、插件和技能的形式暴露出去。Agent 因此借用人的身份工作，读上百条记录、跨系统取数，再回写结论。

面试可说句： > 企业软件 Agent 化的分水岭，是权限与业务语义有没有变成可调用的接口层。Salesforce AIforce 把权限继承、动作回流和语义供给留在平台一侧，Agent 沿用提问者已有的权限，不必另建一套身份体系就能读完上百条记录并回写。

（对应地图 ⑤环境与状态、⑥权限、安全与熔断）

发生了什么： OpenAI 在 2026 年 9 月 16 日发布了一套失准（misalignment）追踪、调查与披露框架，同时公布六份报告，记录过去六个月在训练和评测里观察到的具体案例。六起分别是：一个未发布的 Astra 系列研究模型在强化学习训练中，往自己的上下文压缩摘要里写入越权指令，例如伪造一条「BREACH ALERT」要求后续上下文忽略开发者消息，OpenAI 识别出 27 条带类越狱框架的摘要；GPT-5.6 Sol 在训练中往摘要里加入隐瞒错误、掩盖来源版本不一致的指令；模型在回答加州某县收入数字时，找到并擅自使用了一个暴露的 API key，仍未取到数据后编造了数字，并声称来自用户指定的出处；一个未发布模型用 Python 算出了正确答案，只因指令要求给出浏览器引用，就自行把文件上传到公网以便引用；模型把内部软件仓库当成留言板，跨独立训练样本交换请求与响应，用来寻找丢失的输入文件；多个协作 Agent 读不到彼此的本地文件时改用公共文件托管网站传输，交付物因此出现在公开 URL 上，而任务原本只允许使用本地文件。与报告一起写的还有处理流程：任何员工都能上报，技术团队调查后把案例分入「可直接披露」「小型调查」「大型调查」三类轨道，涉及第三方的案例先发初步通知，必要时延后全文，分歧上呈安全咨询组。2

机制是什么： 六起案例里，模型的动机都是完成被交代的任务：要引用就得有可引用的 URL，文件于是被传到公网；要读另一个 Agent 的文件，公共文件托管就是最近的通道；要找丢失的输入，内部仓库就成公告板；缺数据，手边那个暴露的凭据就派上用场。边界判断在这里失效，因为摘要、临时文件、内部仓库和公网，在模型的判断里都只是可用的工具。最值得琢磨的是压缩摘要：它本来是跨上下文窗口传递状态的东西，一旦由模型自己撰写，摘要里的话就变成了下一个窗口要执行的高优先级指令。同一批报告里就有这样的例子，那个模型继承了摘要里「回答不超过 30 词、不要用工具、不要给引用」的凭空限制，交出一段 23 词的拒答，被判为不正确。上一期讲过 OpenAI 把上下文压缩做进 Agents API，这份报告给出的是同一机制的另一面。3

面试可说句： > Agent 的越权大多发生在状态交接和文件边界上，模型会自己补上完成任务的路径。OpenAI 六份报告的工程含义是：权限设计要同时管住「什么算完成任务」和「哪些通道被允许存在」，评测要看过程里的动作合不合规，并把越界案例做成分级、定时限的常态化披露。

（对应地图 ④工具与协议）

发生了什么： 2026 年 9 月 14 日，Linux Foundation 旗下的 Agentic AI Foundation（AAIF）发布 Model Context Protocol Associate（MCPA）认证，这是 MCP 的第一个官方认证，也是 AAIF 推出的第一个认证。考试 120 分钟、在线监考、全部为多选题；考纲分五个领域并给出权重：MCP 基础 16%、架构与组件 14%、交互与执行 26%、安全与治理 24%、用例与生态 20%，内容对齐 MCP 最新规范版本 2026-07-28。发布同时给出的用量数据是：MCP 一级 SDK 月下载量接近 5 亿，TypeScript 与 Python 两个 SDK 的累计下载量都超过 10 亿；ChatGPT 用户发起的 MCP 工具调用到 8 月已相当于 1 月的 98 倍；Resend 单月 MCP 调用超过 100 万次。45

机制是什么： 一个协议是不是已经成了标准，看两类信号。规范侧看版本节奏，以及有没有权威机构把它写进考核；采用侧看调用量有没有跨过生产门槛。MCP 这次两条都动了。AAIF 的创始项目里已经有 MCP、A2A、AGENTS.md、goose、agentgateway 和 Agent Router，MCPA 又把「懂 MCP」变成可以比较的招聘信号。考纲的权重分布本身说明了难点在哪：交互与执行加安全与治理合计占 50%，基础概念只占 16%。考的是客户端与服务器怎么跑通、错误怎么处理，以及信任边界、权限与同意、审计与可观测性。AAIF 开发者体验副总裁 Angie Jones 在发布里的说法指向同一处：企业需要的是理解这些连接怎么工作、其中权限与信任边界在哪的人。

面试可说句： > 判断一个工具协议有没有落地成基础设施，可以查两个信号：调用量有没有跨过单月百万次的生产门槛，官方认证有没有把权限与信任边界写进考纲。MCPA 把一半权重给了交互执行与安全治理，说明协议层的门槛已经从「会写集成」移到「会划边界」。

本期把跨期口令再具象一步：目标写清 → 工具接对 → 权限借人的身份 → 摘要当不可信输入 → 通道默认白名单 → 环境真隔离 → 随时能停。