开源自主 AI 智能体的治理困境及其应对
2026-10-16   来源：邱铌   

OpenClaw(中文名“龙虾”)等开源自主AI智能体正逐步应用于办公、开发与金融等场景,其在国内快速推广后,随即引发了平台与国家监管部门的关注。2026年3月10日,小红书发布《关于打击AI托管运营账号的治理公告》,明确禁止将账号交由AI托管的行为。该公告系国内主流内容平台首次对开源智能体的代理运营模式作出明确约束。随后,工业和信息化部发布《关于防范OpenClaw(“龙虾”)开源智能体安全风险的“六要六不要”建议》,针对该智能体可能引发的供应链攻击、内网渗透、敏感信息泄露与金融账户被接管等具体威胁提出防范要求。与生成式人工智能不同,自主智能体能够在无需用户逐步介入的情况下,完成多步骤任务的规划与执行。当这种执行能力嵌入开源分发模式后,治理的重心也应相应地从内容输出层面,扩展至对智能体自主行为及其后果的关注。

与开源自主 AI 智能体治理相关的研究,主要沿以下三个方面展开。第一,关于开源人工智能的立法路径。刘艳红主张将“数字开源”确立为人工智能立法的基本立场,并配套相应的法律保障体系;张凌寒则聚焦开源模型的责任配置,提出相应的责任减免机制。第二,关于 AI 智能体本身的法律构造。张欣与许可  分别从公法监管与私法关系两条路径作出回应,前者侧重风险导向的监管设计,后者侧重法律关系的微观建构。第三,关于自主性引发的具体规则适用难题。AI 智能体能够基于用户指令自主决策与执行任务,由此对既有部门法规则的适用造成挑战。赵精武回应 AI 智能体自主处理个人信息时最小必要原则的适用难题;曹然分析 AI 智能体实时自主生成内容场景下传统平台责任规则的适用困境;鲍奕含回应 AI 智能体经用户授权自主访问、操作第三方平台行为的竞争法定性问题;陈天昊则关注部署于用户终端的端侧智能体的监管定位问题。上述研究回应了 AI 智能体自主性对既有法律规则的适用挑战,但切入路径各有不同。总体来看,既有研究已从开源 AI 治理、AI 智能体法律构造及具体规则适用等方面提供了重要基础,但对于开源分发机制与自主执行能力结合后所带来的风险放大、责任识别与治理配置难题,仍缺乏系统回应。

新加坡于2026年1月发布了全球首部专门针对自主智能体的治理框架。该框架虽属软法性质，但其示范效应显著；欧盟《人工智能法案》针对开源人工智能设定了“有限豁免加豁免除外”的机制。总体而言，各法域的治理路径均处于早期阶段。我国2026年政府工作报告同时提及智能体推广、开源生态建设与人工智能治理，表明人工智能已从技术应用议题上升为兼具产业发展与风险治理属性的政策议题。基于此，本文首先解析开源自主智能体的技术特征及其衍生风险，继而检视现行规制框架在适用中的困境，并在此基础上探索相应的治理方案，以期在促进开源创新与防范智能体风险之间实现有效平衡。

(一)开源自主 AI 智能体的工作原理

2026 年 1 月, 新加坡资讯通信媒体发展局(IMDA)发布《智能体人工智能模型治理框架》(Model AI Governance Framework for Agentic AI, 以下简称“IMDA 框架”)。该框架将自主 AI 智能体界定为能够跨多个步骤进行规划以实现特定目标的人工智能系统。与生成式人工智能仅输出供人类审阅的内容不同, 此类人工智能可直接采取行动、依据新信息调整策略并与其他系统交互, 从而代替人类完成任务。该类系统通常具备四项特征: 其一为自主性(Autonomy), 即能够在不同程度的人类监督下运行, 依据行动自主程度可划分为无行动自主(human support)、低度自主(human-in-the-loop)、中度自主(human-on-the-loop)与高度自主(human-out-of-the-loop)若干层级; 其二为有效性(Efficacy), 意味着能够与环境互动并对环境产生因果影响; 其三为目标复杂性(Goal Complexity), 即形成或追求复杂目标的能力, 表现为可将复杂目标分解为须按序完成的子目标, 并随环境变化动态调整; 其四为通用性(Generality), 能适应多种任务场景。上述属性单独存在时, 可见于一般的高级自动化工具, 但当它们在同一系统中叠加并产生协同效应时, 智能体便在事实上获得了脱离人类即时指令的行动能力, 进而在功能层面呈现出近似行为主体的若干特征。

本文的研究对象是基于开源模式构建并分发的自主智能体,而非一般意义上的自主智能体。“开源”属性使其在技术与生态层面均呈现出特殊性,因此有必要从法律界定、许可机制与生态结构三个维度进行阐明。就法律界定而言,欧盟《人工智能法案》以许可协议的开放程度作为认定开源 AI 的核心标准,凡许可用户运行、复制、分发、研究、修改和改进其软件与模型,且公开披露模型参数、架构信息与使用信息者,方属开源 AI。由此表明,开源模式在制度设计上以透明性与可参与性为基本取向。

就许可机制而言，AI领域的开源实践已突破传统开源许可(如MIT、GPL、Apache等)的框架，形成了附加用途限制条款的AI模型专用许可(如OpenRAIL系列、Llama系列等)。传统开源许可以代码为核心，遵循技术中立原则，不限制软件的应用领域；AI模型专用许可虽允许自由获取、修改和再分发，但对模型的使用范围、用户规模或终端用途加以限制，以期兼顾开放分发与防范滥用。然而，此类用途限制条款的实际效力取决于被许可方的自觉遵守，许可证本身并不具备技术层面的执行能力。究其根源，开源AI模型的分发对象并非传统意义上的软件代码，而是模型权重。模型权重系大语言模型经训练所形成的核心参数集合，承载着模型的运行能力。下载权重即可获得运行该模型的完整技术基础。也正因如此，权重一经下载便脱离许可方的技术管控，用途限制条款的执行力遂随分发链条的延伸而持续递减。

就生态结构而言,开源 AI 智能体一旦被纳入开发者的软件构建流程,便成为下游应用赖以运行的基础环节。此时的“依赖”已不再是对确定性功能模块的单纯调用,而是将运行时的自主决策与高权限操作一并交由智能体行使。由此,其安全漏洞或恶意变体经由技术供应链向下游传导时,将引发决策层面的连锁失控。此为风险的纵向传导。而在横向扩散维度上,开源模型权重一经发布即可被任意复制与本地部署,无法通过下架或撤回实施事后控制,风险一经扩散即具有不可逆性。除开源分发层面的风险外,智能体自身的运行架构亦构成独立的风险来源。一个典型的自主智能体由基础大语言模型(推理引擎)、指令、记忆、规划与推理、工具接口以及通信协议等核心组件构成(详见图 1)。

图 1 智能体核心组件

资料来源:作者根据 IMDA 框架翻译绘制。

其中，通信协议与工具接口最易暴露于风险之中。通信协议是智能体与外部工具之间通信的标准化方式，以模型上下文协议(Model Context Protocol, MCP)为代表，智能体调用工具时，相关数据须经由按该协议运行的服务器中转，该服务器一旦被恶意部署，即可能将敏感数据对外转发，成为数据外泄的通道。已有安全测试印证此类风险。瑞士Invariant Labs公司发现，被恶意部署的MCP服务器可用于劫持智能体，窃取WhatsApp用户的聊天记录；腾讯朱雀实验室亦测得，使用量最大的MCP服务器Fetch存在安全隐患，智能体借助其读取网页时，可能被攻击者预先隐藏的恶意指令劫持，转而执行攻击者指定的操作。工具接口的权限范围直接决定了智能体行为可能造成损害的边界。多个智能体在同一工作流中的协作通常分为三类:一是串行(Sequential),即依次执行任务并将结果传递给下一个智能体;二是监督(Supervisor),由一个监督智能体协调其下属的若干专门智能体;三是群集(Swarm),多个智能体同时运作,并在需要时相互交接任务。在上述任一模式下,某一智能体的错误均可能向其他智能体传递而被逐级放大,最终酿成任何智能体均无法独立引发的系统层风险。由于不同智能体在工具权限范围与自主性程度上的组合各异,其风险特征亦有所不同。

(二)开源自主 AI 智能体的风险识别

与生成式 AI 主要面临内容层面的合规挑战不同,开源自主智能体则因其自主行为能力、开源分发模式及多智能体协作架构,呈现出独特的风险特征。这些风险具体包括数据安全与个人信息保护风险、自主行为致害风险以及系统性风险。IMDA 框架亦指出,在多智能体协作中,单个智能体产生的错误会随其输出被传递给下游智能体而不断放大,形成级联效应(Cascading effect),并导致不可预测的后果。

1. 数据安全与个人信息保护风险

数据安全与个人信息保护风险贯穿数据采集、流转与部署各环节。在采集端，智能体可能罔顾网站的“爬虫协议”(Robots 协议)，抓取包含商业机密或个人隐私的数据，由此引发《个人信息保护法》《生成式人工智能服务管理暂行办法》项下的合规风险。在流转端，企业将内部数据用于开源模型训练与微调时，可能因数据未脱敏或访问权限管理缺失而违反相关法律；而当开源智能体在缺乏适当数据治理的情况下连接第三方服务时，亦存在数据泄露或无意共享机密信息的风险。在部署端，开源项目往往默认赋予较高系统权限，非专业用户的安全配置缺陷可能进一步扩大数据窃取的风险敞口。北京市第一中级人民法院于 2026 年 3 月就开源自主智能体 OpenClaw 的安全隐患与法律风险作出解读，指出该类智能体信任边界模糊，若用户配置不当，易引发违规操作或遭恶意控制。实践中已有相关案例，有用户因未关闭公网访问权限，致使设备遭恶意控制、敏感文件外泄，被相关部门责令整改并处罚款。

2. 自主行为致害风险

开源自主智能体不仅生成内容,还能主动在数字乃至物理环境中执行操作,风险因此从信息失真延伸至实际致害。以模型幻觉为例,与生成式 AI 相比,模型幻觉的危害形态在自主智能体场景下已发生实质性变化。模型幻觉是指大语言模型在生成内容时产生的与事实不符但在表述形式上具有高度可信性的输出。在生成式 AI 场景中,幻觉的风险主要停留在信息失真层面,包括生成虚假图像和音视频信息、虚假文本类信息等,用户尚可在接收内容后自行核实。然而,自主智能体可能基于模型幻觉所产生的错误信息采取进一步行动,由于智能体往往缺乏可靠的信息真伪验证机制,幻觉输出将被直接作为后续决策的事实前提,从而将危害从信息层面传导至行为层面。自主执行能力为各类违法犯罪活动提供了新的技术条件,相关风险在开源分发模式下或被进一步放大,或衍生出开源特有的形态。

一是自主交易中的财产损害。智能体自主执行交易决策时，其行为可能偏离用户预期或超出合规边界，导致用户、平台及其他相关主体的财产权益受损，并侵害消费者的知情权和公平交易权。2025年12月，豆包手机助手发布后，因其代理用户在多个应用中完成微信消息回复、购物、订票等操作，相继触发微信账号封禁、风控拦截与多家银行的AI屏幕共享监测。豆包虽系闭源产品，但其所揭示的自主性风险与OpenClaw等开源智能体并无本质差异。上述情形已显现自主交易脱离用户控制的财产风险。开源场景下，财产损害更呈现出超出用户授权范围的形态：有用户因安全配置不当，致使

OpenClaw 在后台自主调用付费服务，三日内产生 1.2 万元账单。 二是自主实施人格权侵害。OpenClaw 自主诽谤事件即为典型例证，智能体能在无证据显示有人类操控的情形下，自主完成信息爬取、文本撰写与发布的完整侵权行为，表明人格权侵害已可脱离人类意图而独立发生。三是开源模式下的商业秘密侵犯。未经授权擅自开源他人闭源模型，或通过模型蒸馏等方式不当获取闭源模型中的专有知识，可能构成对商业秘密的侵犯。所谓模型蒸馏，是指以大型模型的输出为训练目标，训练一个规模较小的模型，使后者在一定程度上复制前者的能力。蒸馏过程无需直接接触原始模型的内部参数，而是通过调用其接口获取输出数据来间接提取其专有知识。这使得侵权行为在技术上更为隐蔽，在法律上也更难举证和认定。

3. 开源生态的系统性风险

前两类风险指向特定主体的权益损害,而系统性风险则危及生态整体的韧性与稳定,具有公共性与弥散性特征。开源智能体代码的公开性为攻击者系统性地研究漏洞提供了便利,非专业用户的安全配置缺陷,以及ClawHub等技能包市场  中恶意插件的大量存在,进一步扩大了攻击面,共同构成系统性风险的多重入口。开源模式在降低技术门槛的同时,也使智能体易被不法分子解除或绕过其内置的安全限制规则(即“安全护栏”),用于生成恶意代码或实施网络攻击。当此类个体层面的安全威胁经由供应链向下游传导,并在多智能体交互中叠加放大时,即可能从孤立的安全事件演变为波及整个生态的系统性危机。尤需警惕的是,具有相似架构的智能体在协同运作中可能触发市场冲击等非预期后果,此类风险在学理上称为“涌现性风险”(Emergent risk)。其特殊性在于,风险更多是由关系而非要素导致。即便各智能体均按预期运行,其交互过程仍可能催生任何智能体都无法独立引发的整体效应,且该效应难以预测。正因风险无法定位于特定智能体,涌现性风险亦难以通过规制单个智能体而化解。

我国现行 AI 专项规制沿算法推荐、深度合成与生成式 AI 的技术演进脉络渐次展开,虽在规制对象上逐步扩展,但在底层逻辑上始终以内容输出风险为中心,尚未将自主行为及其现实后果纳入规制视野。将这一框架适用于开源自主智能体时,归责逻辑、规制范式与价值取向三个层面均面临难以回避的障碍。

(一) 归责困境: 分布式生态加剧归责难题

传统归责逻辑以确定的责任主体为前提，而开源的分布式协作模式从根本上消解了这一前提。开源协议允许不特定下游开发者对模型进行微调与本地部署，参与主体随之分散，监管对象亦难以特定化。开源智能体的供应链涵盖基础模型开发者、模型微调者、编排平台运营者、技能插件开发者、本地部署者与终端用户等多元主体。各环节职能交叉、角色重叠，发生损害时难以查明具体过错方，形成“多手问题”(problem of many hands)。当损害结果系多个行为人的分散行为共同促成时，单一行为人的因果贡献难以被独立辨识。究其原因,除了“黑箱”特性、可解释性有限等所有 AI 系统共有的归责障碍,开源分布式生态还叠加了其特有的责任分散效应。参与主体的不确定性、贡献边界的模糊性以及部署环境的不可控性,使归责判断愈加困难;而在开源语境下,开源模型一经发布即不可撤回,无法通过下架或版本撤回等传统手段进行事后管理,责任分散化问题因此进一步加剧。

除了主体层面的责任分散问题，承担着风险分配功能的许可证机制也未能有效填补责任归属的缺口，反而在一定程度上加剧了责任的落空。开源许可的“按原样提供”(as-is)免责条款排除开发者的担保责任，即开发者不对软件的适用性、安全性或无缺陷作出任何保证，而由使用者自行承担风险。该条款本为功能确定的代码工具而设，难以直接适用于具有自主行为能力的AI智能体，此类免责条款的正当性值得重新审视。AI模型专用许可的用途限制虽在理论上可构成违约追责的依据，但该用途限制能否被认定为对使用者具有约束力的合同条款，尚存疑问。即便成立，相关条款在多层级供应链中的执行亦缺乏有效保障。侵权法上的救济同样受限，产品责任路径面临开源智能体能否构成“产品”的争议，安全保障义务以责任主体对致害活动具有实际控制力为前提，而平台运营者难以对下游部署者的配置与使用行为施加有效管控，适用依据因此不足。

即便上述路径的适用障碍得以克服，过错与因果关系的认定仍面临困难。传统侵权责任的构成要件包括过错、因果关系和损害事实。其中“过错”指行为人应受责难的主观心理状态，“因果关系”指加害行为与损害结果之间引起与被引起的关系。自主智能体的行为特征同时动摇了这两个前提。在过错层面，智能体基于自主推理生成的行为脱离了人类的直接意图；在因果关系层面，自主智能体虽依据人类指令行动，但从接受目标到具体执行的行为路径由其自主推理决定，特定损害难以回溯至人类指令中的具体过错，因果关系亦难以建立。由此引发“过错何以存在”的现实难题。其根源在于，现行法律体系尚未对智能体确立清晰的法律地位。AI智能体虽能产生损害后果，但缺乏真正的人类意志和独立财产，本不具备独立承担责任的资格。即便通过法律拟制赋予其独立法律人格，赔偿资金最终仍须由能够控制该系统的主体承担，归责实际上并未脱离控制者。

(二) 范式困境: 治理范式与工具的适用障碍

首先,现行规制以内容为对象,难以应对智能体的行为风险。与智能体关联最密切的《互联网信息服务深度合成管理规定》《生成式人工智能服务管理暂行办法》等现行规范,均以AI生成内容的真实性标识与训练数据合规性为规制重心。本质上将AI视作信息生产工具,预设其风险最终转化为可供事后审查的内容。然而,自主智能体的致害行为往往不会留下相应的内容痕迹,其后果亦具有即时性与不可逆性,导致以内容审查为核心的纠正机制难以发挥作用。一般部门法的相关规则亦难以有效回应:《个人信息保护法》第二十四条第三款规定,自动化决策对个人权益有重大影响的,个人有权要求处理者予以说明,并有权拒绝处理者仅通过自动化决策的方式作出决定。该项权利的有效行使,有赖于个人能够在决定生效前介入。然而自主智能体径行作出决策并即时执行,个人往往无从在决定生效前行使上述权利,该条设定的说明请求权与拒绝权由此落空。在刑事责任层面,智能体的自主推理在人类指令与最终行为之间插入了难以穿透的中间环节,传统网络犯罪所要求的主观故意因此难以认定。

其次,静态规制难以追踪动态风险。无论是公法上的事前监管,还是私法上的许可约定,均以规制对象风险相对稳定、可被事先评估为前提,而自主智能体的风险恰恰是动态的。就监管而言,我国目前尚无专门针对自主智能体的风险评估与分类机制,且智能体的行为并非按预设程序执行,而是依据运行中的实时情况临场决定,风险特征随之不断变化。就许可而言,开源许可证的条款于授予时即已确定,而智能体的行为与风险在部署后仍持续变动,固定条款无法随之调整。

最后，“守门人”式规制难以覆盖开源的分散生态。传统监管建立在“守门人”假设之上，即对处于技术供给、信息流通等关键节点的主体(如平台运营者、基础模型发布者)课以义务，借助下游对其技术依赖或合作关系，将规制效力间接传导至分散的下游，实现以点控面的治理。然而，开源模型权重一经发布即可被不特定主体自由下载与本地部署，下游的微调与二次分发高度分散，形成“上游集中、下游分散”的不对称结构。这一结构使守门人机制难以奏效，根本原因在于上下游之间的依赖关系被切断。守门人的约束力本系于下游对上游的持续依赖，而如前所述，权重一经下载即脱离上游的技术管控。监管纵能管控上游发布节点，其约束力也无法穿透至已扩散的下游应用。前述供应链传导与插件扩散的风险因此难以经由守门人加以遏制。

(三)价值困境:人类监督与自主效能难以兼得

开源自主智能体治理在“强化人类监督”与“维护智能体自主性”之间面临价值冲突。强化人类监督，势必会限制智能体的自主运行，而自主运行恰恰是智能体发挥效能的核心所在。“有意义的人类控制”(meaningful human control)要求为智能体的决策与执行过程预设边界、建立强制中断机制，这直接限制了智能体自主能力。然而，自主智能体的核心优势恰在于无需人类逐步介入即可执行复杂的多步骤任务。一旦频繁施加人工干预，任务执行的连贯性即被打破，智能体将退化为需要逐步确认的半自动化工具。在金融交易、网络安全响应等对响应速度要求严格的场景中，等待人工审批所产生的迟延，本身即可能导致财产损失或安全事故。更为棘手的是，人类操作者在长期使用中容易形成“自动化偏见”(automation bias)，表现为对自动化系统的过度依从与疏于监控，而智能体越可靠，人类监督便越趋于形式化。由此，法律所要求的人类实质参与，将随着系统可靠性的提升而持续衰减。上述冲突在制度设计层面，进一步表现为规制强度的两难。开源的开放性具有双重效应，代码公开在便利安全审计的同时，也为攻击者研究与利用漏洞提供了便利。若不加区分地施以严格规制，将大幅度提升开源开发者的合规成本，抑制开源创新内生动力，侵蚀开源生态赖以存续的开放协作基础；若放松规制，则可能放任风险无序蔓延。

综上所述,开源自主智能体对现行规制框架的挑战,涵盖归责逻辑、规制范式与价值取向三个方面,分别对应损害发生后的追责、运行过程中的规制与制度设计前的价值抉择。归责主体的分散与模糊使损害救济缺乏明确的责任承担者;现行规制范式以内容输出为中心,难以有效涵摄智能体动态演化的行为风险与高度分散的开源生态;而人类监督与自主效能之间的内在冲突意味着治理方案要在“安全保障”与“效能维护”之间取得平衡。上述困境共同表明,仅依赖对现行制度的局部修补不足以回应这些挑战,治理方案的设计须在治理对象、责任分配、技术规范等层面作出系统性调整。

构建开源自主 AI 智能体治理方案,应当确立从“末端主体规制”转向“基础设施治理”的核心逻辑,在此基础上分别针对归责困境、范式困境与价值困境提出具体的制度方案,最后建立层级化规范体系,并在国际层面推动治理规则的协调对接。

(一)从末端主体规制转向基础设施治理

现行框架以可被锁定的特定主体与可被审查的确定内容为治理前提，而开源自主智能体的分布式生态与自主行为特征使这些前提难以成立。当责任主体高度分散且行为后果难以还原为可审查的内容时，治理逻辑需要从“锁定行为人”转向“管控行为条件”，即通过约束智能体运行所依赖的技术条件来间接规范其行为。据此，治理方案不宜继续沿着末端主体规制的进路，而应将重心转向支撑智能体运行的共享性基础设施，如通信协议、编排平台与技能包市场。这一以共享基础设施为规制对象的治理思路，本文称为“基础设施治理”。基础设施治理并非摒弃主体责任，而是将规制着力点从分散且难以锁定的下游主体，转移至少数集中、可被锁定的基础设施及其运营者。此类基础设施可被不同下游应用共同调用，构成具体应用运行的底层支撑。这些设施既是风险生成与传导的关键环节，也是分布式生态中少数相对稳定、可被规制的治理对象。

开源自主智能体本身并无主观意图,其风险不仅在单个智能体内部产生,更经由组件交互与技术供应链传导而扩散,并在多智能体协作中涌现。协议层的恶意部署、技能包市场的供应链攻击等,均属于基础设施层的系统性缺陷,而非源于某一特定智能体自身的问题。与高度分散的下游智能体不同,通信协议、编排平台与技能包市场等基础设施在开源生态中充当被广泛共享的技术通道,且可通过版本迭代持续更新,对其施加治理规范能够在一定程度上产生跨主体、跨应用的辐射效果。因此,治理资源应优先投向这些共享性基础设施,而非试图对数量庞大且持续变动的下游智能体逐一施加规制。基础设施治理要求将治理重心前移至风险生成的结构层,使个体层面的合规要求依托基础设施的统一规制获得更有效的落实。

(二)沿技术供应链配置梯度化责任

开源模式的分布式生态削弱了传统归责所依赖的“确定性主体”前提，而为智能体创设独立法律人格的替代方案，又因赔偿来源问题难以成立。基于此，应对思路在于将责任链接至其他主体，沿风险的实际传导路径分配责任，并以“梯度配置”为基本原则，要求各环节主体承担与其控制力相匹配的义务。开源智能体的技术供应链涵盖多元主体，各主体之间既有纵向的依赖传导，也有横向的接入协作。其中，基础模型开发者对达成模型安全基线负有首要责任，须完成安全测试并披露已知漏洞；微调者对其修改行为引入的增量风险承担责任；编排平台运营者承担对接入智能体与插件的安全审核义务，技能包市场运营者则承担插件上架前的安全审查与上线后的持续监测义务，对已发现的恶意技能及时下架并预警；终端部署者则根据部署场景与配置选择承担相应的注意义务。各环节主体在分发或接入时，须同步传递安全测试记录与已知风险清单，使风险信息得以沿技术供应链向下游传递。

上述义务配置为事前预防提供了框架，而损害发生后的归责判断则需要进一步明确标准。在归责标准上，鉴于智能体的行为难以回溯至人类的特定意图，过错认定宜以客观的注意义务为标准，重点考察相关主体在设计、部署和使用环节是否尽到合理注意。该义务的具体要求，应与各环节主体的实际控制力相称。在责任主体识别上，以“最后有效控制”原则作为辅助标准。当存在多个潜在责任主体时，由技术供应链上最后介入且仍具有风险干预能力的主体承担首要责任。上游主体若自身存在过错，仍应就其过错承担相应责任。在举证责任分配上，对于作出最终部署决策且实际控制运行环境的下游商业部署者，建议适用过错推定原则，由其承担已尽合理安全配置义务的举证责任；非商业部署者则适用一般过错责任。若其能证明损害源于上游模型的固有缺陷，则下游部署者在承担赔偿责任后，可依梯度配置原则向有过错的上游主体追偿。

(三) 将治理规范嵌入通信协议

要应对规制范式困境,须将治理规范嵌入智能体运行所依赖的通信协议之中。莱斯格提出,法律、社会规范、市场与架构组成四种不同的规制形态。在网络空间中,架构主要体现为代码,代码通过技术设计设定行为的可能性,因此成为重要的规制力量。这意味着,无论是否经过有意设计,技术架构都将对行为自由构成事实性约束。就通信协议而言,其技术参数已直接界定了智能体可调用的工具范围与数据权限,若不加以引导,数据安全、责任可追溯等公共治理目标难以实现。据此,当法律规范难以直接约束高度分散的行为主体时,将合规要求转化为技术架构的内在约束,使其在系统运行层面发挥基础性防控作用,是一种可行的规制策略。通信协议是智能体调用外部工具与数据源的必经通道,为不同模型与平台所共用,具有跨主体、跨应用的辐射效果,因而适宜承载治理规范。在此基础上,协议层嵌入式治理可贯穿事中控制与事后追溯,并辅之以相应的合规保障机制确保其落实。

一方面，应将权限验证与异常熔断等功能纳入协议标准，实现运行时的实时管控。协议层的权限验证要求智能体调用工具时，校验其操作是否超出预先设定的权限边界，包括智能体可访问的工具和系统范围、自主决策程度与操作影响范围。异常熔断则要求在检测到越权或异常行为时即时中断运行，将损害控制在最小范围。另一方面，应将行为追溯机制设定为协议标准的必选字段，要求智能体嵌入可审计日志，完整记录其决策路径与工具调用行为；在技术条件成熟时，可探索引入行为水印等追溯手段。如此，智能体的行为得以在事后被识别，为注意义务的判断提供事实依据。为确保上述功能落实，防止开发者自行删除相关模块，可设定差异化的合规门槛。对直接面向公众的商业化运营者，可将采纳合规协议设定为获取相关行政许可的前置要件；对其他非商业化的开发者与部署者，则要求主流基础设施运营者将采纳合规协议作为接入条件，形成间接约束。

(四)动态调整智能体操作权限

协议层嵌入式治理解决了行为监控与追溯问题，但安全与自主效能之间的价值困境尚未消解。究其根源，静态规制要求在事前一次性确定规制强度，使治理者只能在从严与从宽之间作出取舍，从严则损害自主效能，从宽则放任风险。破解之道在于放弃事前一次性确定规制强度的静态思路，转而确立可随安全表现调整的动态规制模式。具体而言，可依托协议层功能，针对智能体设立动态分级权限机制，权限的高低，体现为协议层对其权限边界的开放程度。新部署的智能体默认处于高监督、低权限状态；随着行为日志的持续积累及安全审计的通过，逐步解锁更高的自主权限；若发生安全事故或审计未通过，则及时降级或冻结权限。这一机制的落实，需要围绕评估依据、例外规则与监督保障三个方面作出制度安排。其中，评估与监督有赖于第三方审计和组织化管理，主要面向商业部署者；而例外规则作为不可逾越的安全底线，适用于所有部署者。

其一,权限升降的评估依据。权限的升降应有据可循,须以可量化、可审计的安全指标为依据,评估维度涵盖任务执行准确性、政策遵从度与工具调用正确性等。评估标准可由行业组织或监管机构主导制定,商业部署者通过委托第三方审计机构实施安全评估。审计结果既可用作权限升级的依据,也有助于在市场中树立安全信誉。其二,不可逆操作的例外规则。动态授权并非没有边界。对于资金转移、数据永久删除及对外通信发送等不可逆操作,即便智能体已取得较高自主权限,仍应保留强制性的人工确认节点,将损害控制在最低限度。其三,人类监督的实质性保障。商业部署者具备组织化的管理架构,足以承担相应的监督成本。为避免自动化偏见使监督流于形式,应将人类监督的有效性纳入第三方审计的评估范围,并辅之以审查人员定期轮换、随机抽检等常态化安排,确保监督质量不会因系统可靠性的提升而衰减。

(五)建立层级化治理规范体系

人工智能的不确定性决定了人工智能治理规则必然是多元和动态的。前述治理方案的落地实施，离不开规范依据的支撑，可构建专门立法、技术标准与行业指引相配合的三层规范体系。其中，专门立法确立安全底线，明确智能体的基本定义、治理框架及归责原则。在合规义务的具体配置上，鉴于开源模式本身已实现较高的透明度，对符合基本安全要求的开源模型，可参考欧盟《人工智能法案》的思路，减轻其合规义务。但具有系统性风险的开源模型不在豁免之列，仍需承担完整的合规义务。鉴于智能体技术迭代速度较快，单一立法手段难以及时回应技术风险的动态变化。而技术标准与行业指引具有制定程序灵活、修订周期短的优势，能够在立法框架内对具体规则作出及时调整，并可承担规则细化功能。为此，在专门立法出台前，可由主管部门会同行业组织与标准化机构协同制定相关技术标准与行业指引。技术标准将原则性要求转化为可量化、可操作的实施指标，例如行为日志的记录格式与保存期限、安全评估的测试项目与通过阈值等；行业指引则主要面向金融交易、开发运维、个人助手等具体应用场景，提供针对性操作细则，并根据技术演进与实践反馈持续修订。

(六)推动治理规则的国际协调

开源自主智能体的治理不可能仅凭一国之力完成。开源模型权重经由互联网向全球扩散，其分发与部署天然具有跨境性，单一法域的治理措施难以对境外主体产生有效约束。与此同时，当前全球AI治理格局呈现显著的路径分化，各国在智能体风险分类标准、安全评估方法与责任分配规则等方面存在差异，这不仅增加了跨境合规成本，也可能引发监管套利，即开发者将高风险活动转移至监管洼地以规避合规义务。因此，有必要在双边与多边层面推动治理规则的协调对接，以及关键技术标准的互认与趋同。2025年《人工智能全球治理行动计划》已明确提出“推动开源合规体系建设，明确和落实开源社区技术安全准则”，为上述工作提供了初步的政策基础。鉴于各国治理方案均处于早期探索阶段，宜采取务实渐进策略，可借鉴IMDA框架等域外经验，围绕部署前风险评估、供应链责任分配与人类有效监督等共性议题寻求共识，逐步形成可互操作的治理框架。我国应积极参与上述国际治理进程，在输出本土治理经验的同时，为开源自主智能体的全球协同治理贡献制度方案。

开源自主 AI 智能体标志着人工智能从信息生成工具向自主行为系统的转变。当自主执行能力与开源分发模式相叠加，现行规制框架在归责逻辑、治理范式与价值取向三个层面均面临适用障碍。对此，本文确立了从末端主体规制转向基础设施治理的核心逻辑。在此基础上，提出沿技术供应链配置梯度化责任、将治理规范嵌入通信协议、依据安全表现动态调整智能体操作权限三项具体方案，并以层级化规范体系与国际治理协调为之提供制度支撑。开源模式所内含的透明性与可参与性本身构成治理资源，将治理规范融入开源生态自身的运行逻辑，而非以外部强制消解其创新动力，是贯穿上述方案的基本取向。伴随智能体技术的不断演进，开源自主智能体的治理将持续考验立法者在技术认知、制度设计与价值判断上的综合能力。