AI 代理敘事缺少的一塊：使用者代理與集體協商

AI News · 2026-04-24

原文連結： What’s Missing in the ‘Agentic’ Story

摘要

• 作者先從一個簡單前提切入：過去我們習慣相信電腦會照指令做事，因為它們的行為多半是本地、可預期的。
• 但在網路時代，從硬體、軟體到雲端服務，幾乎每一層都可能同時代表使用者與供應商的利益，信任早就不再單純。
• 瀏覽器之所以重要，不只是因為它能顯示網頁，而是因為它像一個「使用者代理」，替使用者和網站之間做出可重複、可理解的權限協商。
• 作者主張，AI 代理如果要真正成為長期可用的基礎設施，也需要類似的角色與邊界，而不是一個什麼都能做、什麼都能問的黑盒子。
• 只靠每個服務各自跳出權限請求，最後只會變成另一種 cookie banner 地獄；真正需要的是能被共同接受的標準與默認規則。
• 這篇文章把「agentic AI」從能力競賽拉回制度設計：重點不是 AI 能做多少，而是它究竟替誰做、能做什麼、又該被誰約束。
• 對做產品的人來說，這比單純追求更強模型更接近現實：沒有信任結構，代理就只是會四處要權限的高級軟體。

· · ·

2026 年 4 月 24 日（星期五）

在電腦史的大部分時間裡，我們大致都可以放心假設：機器會照你下的指令做事，也會照創造者承諾的方式運作，因為它的操作範圍是本地的。

你買一台筆電或桌機，配上作業系統，它做的就是說明書上寫的事：跑程式、存檔案。你買一套試算表或文書處理軟體，它就負責那些任務，不會多做別的。不是這樣的軟體，會被歸到另一個類別：惡意程式，我們也有對付它的方法。

這種假設在工具上也很常見——不管是釘書機、螺絲起子還是望遠鏡。你買螺絲起子，它就是拿來轉螺絲；它沒有自己的主張。它或許可以被拿去做別的事，但那是因為你誤用了它，不是因為它自己決定要這麼做。多數人使用的東西都明白符合這個模式；例如我的機械錶除了報時之外，什麼也做不了。1

這種經驗也延伸到大多數2對電腦的虛構描寫裡，尤其是科幻作品：電腦會勤奮地替人工作，而且總是站在使用者這邊，幾乎沒有侵入感。這也延續了技術樂觀主義的傳統——它塑造了很多小說與影視，也影響了一整代試圖把這一切做出來的科技宅。

這些經驗加在一起，讓人很自然地對電腦抱持近乎無條件的信任；大家不太會去想，這些系統還可能服務其他目的。當我用手機時，那是「我的手機」，所以它應該是在幫我，對吧？新聞報導也常強化這種印象：最近我就看到一家大報在教人怎麼跟「你的」AI 代理說話。

但只要稍微往下挖，就會發現這些假設放到現代科技上其實都不成立，而且也不安全。

網際網路上的信任現況

每次你使用一台連上網路的電腦，你其實都在信任某個人——多半還不只一個——替你做事。從應用程式的程式碼一路到底層晶片，再到它們所使用的網路服務，軟硬體幾乎都會把創造者的利益寫進去；而那些利益不一定和你的利益一致。

關鍵是，這些層次通常——雖然不總是——被安排成創造者與使用者利益相對對齊。晶片廠商彼此競爭，所以會把重點放在把晶片做好；如果它們試圖濫用自己的位置（比如偷偷透過側錄管道外洩你的密碼），市場（以及可能的法規）就會懲罰它們。

但現代企業很擅長利用這種結構中的縫隙。現在如果你拿智慧手錶或手機看時間，它可能更準，但你也得忍受它把你的位置、活動紀錄，以及其他你根本不知道的東西回傳給廠商——而且廠商還可能再把這些資料分享出去。其他所有應用程式也一樣。

這些濫用通常不明顯，所以很容易有人看著一台連網裝置，以為雖然它是「自己的」，裡面處理的資料也還是「自己的」，但其實自己已經把大量信任交給一整串看不見的第三方——而這些信任未必值得，甚至未必受到保護。舉例來說：

• 電視早就廣為人知會在未經同意的情況下監看使用者行為。
• Meta 曾經決定解密私人流量，從「研究」使用者手機中的競爭服務資料抽出來存到自家伺服器。毫不意外地，這件事最後進了法院。
• Facebook 也曾讓 Netflix 存取使用者的私人私訊，結果又引發另一場訴訟。
• Microsoft 悄悄改了新版 Outlook 的設計，讓它會把第三方郵件伺服器的密碼偷偷送到自家雲端，接著再分享給 700 多個「最親近的朋友」——也就是資料經紀商與廣告商。
• 各家車廠會蒐集詳細資料並分享給其他第三方，包括資料經紀商與保險公司，嚴重到你很難找到一台不侵犯你信任的車。
• Ring（也就是 Amazon）在安全實務上鬆散到讓「內部濫權者」與駭客都能利用權限存取人們的攝影機。
• Grindr 在未經允許的情況下，把高度敏感的健康資訊分享給第三方。
• Photobucket 試圖大幅修改服務條款，允許把使用者照片拿去做 AI 用途，但在法院裡失敗了。

這只是冰山一角；類似的案例還有很多。這些都是驚人的信任破壞，而且這件事正變成常態。

怎麼會走到這裡？如果要猜原因，我會說是幾件事一起造成的：雲端運算的普及——因為現在一切都跑在你無法控制、或至少不完全控制的電腦上；投資人對成長與報酬越來越高的期待，逼得公司去找新的、持續性的營收；再加上，約束這些行為的監管力量實在太弱。

使用者代理是一種集體協商

雖然前面那些例子已經說明，在網際網路上幾乎沒什麼人值得完全信任，但情況本來可以更糟。想像一下，你必須為每一家與你互動的公司、政府機關或其他實體，分別在電腦上安裝一個程式，而且這些程式都能完全控制你的系統。換句話說，每一次線上互動，都變成安裝惡意程式的機會；這些程式可以擷取你的個資、刪檔勒索、追蹤與監控你的行為，還會無視你的利益，改服務於它們自己的利益。

現代網路是怎麼避免這種狀況的？很多時候，靠的就是平凡無奇的網頁瀏覽器。它會選擇性地把某些能力開放給網站，但不會把整台電腦的完整權限交出去。這就叫做 User Agent——也就是替你行動、代表你的利益，並在你與其他方互動時幫你做事的軟體。

而且瀏覽器在代表使用者利益的同時，也會平衡網站的利益。網站希望頁面以可預期的方式呈現，但有些使用者會依賴無障礙工具。人們不想被追蹤，但網站又需要知道頁面是怎麼被使用的。對網路來說，這些微妙的取捨，都是在共享原則與價值的框架內，透過透明的共識流程決定的——也就是相關標準組織，通常是 W3C 或 IETF。除此之外，瀏覽器還不只一種，所以你可以選擇最能代表你利益的那一款，市場壓力也會推動它這麼做。

重要的是，這套協商對所有人都大致是同一份條件。如果你必須針對每一個網站逐一談判它們能在你電腦上做什麼，你很快就會因為疲乏而放棄——cookie banner 就是這種失敗的明顯例子。在大型網站與個人使用者之間的這場協商裡，網站通常握有較多籌碼，因此就需要從整體上考慮使用者的利益，而不是讓網站一個一個慢慢削弱它們。瀏覽器其實就是一份全球條約，把網站與使用者的關係固定下來。

這不是說瀏覽器就完美對齊使用者利益；DRM 與廣告/追蹤的爭論就顯示，大家對什麼才是正確平衡存在分歧，甚至對「利益」本身的定義都不同。User agent 也可能只是做錯；例如，Google 曾把使用者在 Chrome 私密瀏覽模式中的資料留下來。

如同我之前說過的，網頁瀏覽器的野心也不夠大。它們能保護你電腦上的資料與能力，並且（大多數時候）把不同網站彼此隔離，但對於你交給網站的高層能力，它們還做得不夠。

即便如此，瀏覽器仍然是很好的例子，說明使用者代理應該怎麼做。其他也試圖代表使用者利益的平台也有，比如 iOS 與 Android。但它們是單一實作，所有決策都由一家企業不透明地做出來。相較於瀏覽器，那些權力上的制衡非常有限，性質也很不同。

為什麼 AI 需要使用者代理

大型語言模型長期會如何改變世界，其實很難預測。但可以肯定的是，大家現在都很興奮於所謂的「agentic」AI，很多人急著宣稱它會改變，嗯，一切。簡單說，這裡的想法是：一個具備工具能力的 LLM 可以替你行動——也就是成為你的代理。

先不談我們是否正處於 hype cycle 中，這裡談到的代理模型其實相當簡化，和網頁瀏覽器相比尤其如此。很大原因是，AI agent 或聊天機器人到底該做什麼、不該做什麼，根本還沒有單一明確的定義——它目前還只是個概念。因此，除非你自己寫一個 agent（或讓 AI 幫你寫），否則你用的是一套嵌入了他人利益的軟體，而且缺乏問責、制衡與監督。它雖然聲稱是在替你工作，但你其實很難確定它真的有這麼做。3

這種不可信也會反過來傷到另一邊。代理所使用的資料與服務，對它會怎麼使用幾乎沒有可見性，因為這個 agent 可能什麼都能做——不像網頁瀏覽器，它對網站資料的使用方式至少提供了一些粗略的護欄，也對能力與行為建立了預期。

換句話說，如果沒有一個被公開標準支撐、能嵌入雙方制衡的明確「使用者代理」角色，AI 裡就會出現一個空洞，讓市場更難形成。

這不是說，沒有明確 user agent 概念的 agentic AI 就完全沒有用武之地。在一些信任已經被假設成立的有限領域裡——例如企業內部，以及和第三方供應商之間——這類代理很可能仍會蓬勃發展，因為雙方之間的契約關係已經在約束它們的行為。當然，我們也已經看到 AI 聊天機器人被越來越多拿來作為線上資訊入口，儘管它們現在仍然不透明、沒有約束。

但這會限制 agentic AI 的用途與範圍。使用別人寫的代理，會需要像使用 Android 或 iOS 一樣的大量信任——而且還不確定之後要寫這些代理的公司是否值得那份信任，尤其當它們大量冒出來時。資料來源與線上服務同樣也不太可能信任隨機 agent，因為它們不知道資料最後會怎樣：agent 可能真的照宣稱的方式使用並妥善銷毀，也可能把資料存起來或重新發布。

有些 AI agent 提案假設，把代理程式包進 TEE 或類似「監牢」裡就能解決問題；但那忽略了一件事：我們仍然需要集體協商。若代理可以不斷要求更侵入的權限，那我們幾乎注定會活在一個它們老是煩我們給權限、最後每個人都輸的世界，因為信任會被反覆濫用，於是逐漸瓦解。

另一種選擇，是把 AI 體驗鎖進專有平台。可是那會帶來什麼樣的體驗？

Meta 之所以對智慧眼鏡有興趣，並不是偶然。內建攝影機、能顯示 WhatsApp 訊息的鏡片、以及把聲音直接送進耳朵的喇叭，只會讓使用者更容易分享自己正在做什麼，也更容易追蹤別人在做什麼。對 Meta 而言，使用者在平台上停留越久，廣告收入就越高。Amazon 也很樂見 Echo 喇叭進入每個家庭、眼鏡戴上每一張臉，好蒐集更多資料來擴大廣告業務，並讓在自家市集購物變得更容易。至於 OpenAI，如果大家乾脆丟掉螢幕，改由聊天機器人處理與數位世界的互動，對它也會很有利。

– The Economist

為 AI 代理定義一種 user agent 角色，也會讓它更容易被法律與監管理解。考慮到今天監管者對「AI 安全」的高度關注，如果有一種架構可以保證某些性質，它就可能成為解方的重要一環；這不只會創造更多競爭，也可能提早避免更重手的法律管制。

最後，雖然讓 AI 做什麼都可以看起來代表很多機會，但替它加上約束，不只會讓使用者與服務更容易信任它，也能幫助人們更容易理解它到底在做什麼。簡單說，當科技給出太多選項時，使用者通常會困惑。產業當然不想在這個早期階段限制 agent 的可能性，但總有一天，這種完全開放的狀態會弊大於利。絕大多數人根本不懂自己在電腦上做了什麼，也不該被期待懂。

AI 的使用者代理可能長什麼樣子

現在要設計一個 AI UA 的問題在於，它本質上就必須對 AI 的用法加上限制，而這發生在大家仍在探索 AI 還能做什麼的階段。成為代理，意味著你得仔細考慮後果並平衡利益，而這很容易出錯。

拿 Ring 攝影機來說。Amazon 當初覺得，讓警方使用一整個攝影機網路來找「壞人」顯然是好事，但結果證明那不只是天真，而是災難性的錯誤。讓使用者自行選擇退出，並不足以平衡這裡的利益——真正欠缺的是一種能在架構上保障權利的原則性設計。

我猜這也是 Apple 花了這麼久才想強化 Siri 的原因之一。把 OpenClaw 裝進去，讓它任由自己在你的個資上大鬧一場，實在太容易了——把原本像惡意程式的東西，轉成大家會主動安裝的產品，這很危險；但要打造一個既尊重使用者權利、又能創造市場機會、還能維持健康生態、不把使用者淹沒在選項海裡的系統，就難多了。如果每個人都在自己的孤島環境裡各玩各的，我們就會失去代理性的集體力量——不只是對使用者，對市場也是一樣。

也許最後會誕生一個全新的平台（不管是 Apple、OpenClaw 或其他公司），也可能 AI 能力會自然地被加進網路裡。像 A2UI 這類專案，也已經展示了一些往這個方向走的小步伐。

但整體來說，要為 AI 建立一種代理角色——並把它對使用者與市場帶來的好處一併納入——就必須以一種會變成「常態」的方式，限制它能呼叫哪些工具，讓人們能依賴它的行為。那可能意味著標準化的工具 API、適當的限制、權限模型、沙箱（TEE 或其他形式），以及更多配套。

今天很多 AI 討論都把這些問題一股腦塞進「安全」這個籃子裡。但我們其實需要更細膩地談它。Security 是防禦姿態；agency 則是一種功能上的權利。

但也許最關鍵、也最隱藏的一點，是我們要怎麼走到一個共同的 AI 平台概念——包括使用者代理。最後它會像大型行動平台一樣，由私有、善意但自利且有利益衝突的行為者所控制，然後幾乎不可避免地走向競爭與消費者監管？還是會像網路那樣，透過一個公開問責、雖然難免混亂又緩慢的流程來形成？

• 而日期，還有其他資訊，要看它有多複雜。↩
• 明顯的例外是 2001: A Space Odyssey。↩
• 更精確地說，還包括法律保護，例如契約與產品責任。至於如何把這和架構層面的保護做比較，會留到另一篇再談。↩

· · ·

給 AI 代理設計者的提醒

這篇真正有力的地方，不在於把瀏覽器拿來當比喻，而在於它把「代理」重新定義成制度問題。能力可以疊加，但信任與權限不能無限外包；一旦每個服務都想自己談一次條件，整個使用體驗就會退化成權限疲勞。

更現實的路線，可能是先替 AI 做出像瀏覽器那樣的默認契約：哪些工具能用、哪些資料能碰、什麼時候要升級授權、出了事怎麼追蹤。真正值得投資的，不只是更會做事的 agent，而是更懂得「替誰做事」的 agent。