距离 NIST 还有三个月：AI Agent 标准真空与填补它的五个产品

企业正在把 AI Agent 送进一个监管真空。据 Forkast 的分析，NIST 于 2026 年 2 月 17 日启动 AI Agent 标准倡议，但面向 Agent 的补充件（overlays）仍停留在「预计 2026 年下半年」、并未正式承诺；据 Cloud Security Alliance 在 2026 年 3 月的分析，最终标准最早要到 2027 年。缺口不是没人干活，而是「能被企业拿来衡量的那个交付物」迟迟没有出现。与此同时，Gartner 2026 CIO 调查显示 17% 的 CIO 已部署 Agent、另有 42% 计划一年内上；而一份由厂商委托的调查称，88.4% 的企业在过去 12 个月遭遇过 Agent 安全事件。在联邦框架缺位下，五个治理产品在 13 天内集中上市。

一、NIST 时间线：缺的不是工作，是承诺

据 Forkast，NIST 下属的 AI 标准与创新中心于 2026 年 2 月 17 日启动 AI Agent 标准倡议，三根支柱是 Agent 安全、Agent 身份与授权、开源 Agent 协议。关于 Agent 安全的 RFI 于 3 月截止，NIST 于 5 月公布了回复分析。但前路仍未承诺：面向 Agent 的补充件虽被「预计在 2026 年下半年」推出，NIST 并未正式承诺这些交付物；据 Cloud Security Alliance 2026 年 3 月的分析，最终标准最早也要到 2027 年。这制造了一个具体的问题：今天部署 Agent 的企业——17% 的 CIO 已在部署、另有 42% 计划在一年内上——缺少一个联邦层面的度量框架，去界定「安全」或「合规」在 Agent 语境下意味着什么。

# The NIST timeline, as reported. The gap is not that work is missing;
# it is that the deliverable nobody can commit to is the one enterprises
# need to measure against.

NIST_AGENT_STANDARDS = {
    "initiative_start": "2026-02-17",
    "body": "NIST Center for AI Standards and Innovation",
    "pillars": ["agent security",
                "agent identity and authorization",
                "open-source agent protocols"],
    "rfi_closed": "2026-03",
    "analysis_published": "2026-05",
    "agent_overlays": "projected 2H 2026, not formally committed",
    "final_standards": "2027 at the earliest (per Cloud Security Alliance, 2026-03)",
}

# The NIST AI RMF (January 2023) was not designed for autonomous agents
# that take consequential actions. The overlays are the gap-fill.

能被企业拿来衡量的那个交付物，仍在路上

二、数字：部署压力、侵入比例与信心落差

据 Forkast 引用的两份调查，压力与后果是同时上升的。Gartner 2026 CIO 调查显示，17% 的 CIO 已部署 AI Agent，另有 42% 计划在一年内上。另一边，AvePoint《State of AI 2026》（与 Osterman Research 联合、调查 750 名全球 IT 负责人）称：88.4% 的企业在过去 12 个月遭遇过 AI Agent 安全事件，最常见的是数据泄漏（50.1%）与被恶意或不可信输入操纵（49.6%）；86% 的企业推迟了部署，平均推迟 5.92 个月。需要明确标注的是，这是厂商委托的研究、AvePoint 销售治理工具，因此结论是方向性的。但有一个模式值得警惕：82.7% 的负责人对自身防止未授权访问的能力表示有信心，而同一批组织里约九成报告过被侵入。此外，据 Collibra 委托的 Harris Poll（2026 年 9 月），76% 的决策者表示把 Agent 从试点推向生产时遭遇了关键阻碍。

# The deployment pressure and the breach numbers, kept separate and
# with their provenance attached.

GARTNER_2026_CIO_SURVEY = {
    "deployed_agents": "17% of CIOs",
    "plan_within_a_year": "42%",
}

AVEPOINT_STATE_OF_AI_2026 = {   # with Osterman Research; 750 IT leaders
    "caveat": "vendor-commissioned -- directional, not definitive",
    "agent_breach_last_12mo": "88.4% of enterprises",
    "data_leakage": "50.1%",
    "manipulation_by_untrusted_input": "49.6%",
    "delayed_deployments": "86% (avg 5.92 months)",
    "confidence_gap": "82.7% confident they can prevent unauthorized access",
}

# Collibra-commissioned Harris Poll (2026-09): 76% of decision-makers hit
# critical roadblocks moving agents from pilot to production.

三、13 天内的五个产品

在联邦指导缺位的情况下，私营部门迅速自建解决方案。据 Forkast，2026 年 8 月至 10 月间有五个主要治理产品上市：SAP 的 AI Agent Hub 做供应商无关的清单；Collibra 的 Guardian Agents 做运行时监督；Dataiku 宣布其 Agent Management 平台正式可用；Island（以 64 亿美元估值融资 4 亿美元）转向 agentic 控制平面；微软在 9 月 25 日发布 Copilot Autopilot，集成 Entra 身份治理。Forkast 的评价很克制但关键：这些工具是必要的，但并不充分——它们在没有统一联邦骨干的情况下运行，每家对「治理」的定义各不相同，也没有关于「充分监督」的共享度量标准。

# Five governance products shipped between August and October 2026,
# each building an enterprise control layer where the government has
# not yet defined one.

FIVE_PRODUCTS_13_DAYS = {
    "SAP":       "AI Agent Hub (vendor-agnostic inventory)",
    "Collibra":  "Guardian Agents (runtime supervision)",
    "Dataiku":   "Agent Management platform (GA)",
    "Island":    "agentic control plane ($400M raised at $6.4B valuation)",
    "Microsoft": "Copilot Autopilot with Entra identity governance (2026-09-25)",
}

# The cited critique: these are necessary but insufficient. Each vendor
# defines 'governance' differently, and there is no shared measurement
# standard for what adequate oversight means.

必要但不充分：缺少共享的度量标准

四、责任信号：开发者承担全部责任

比技术标准更早清晰的，是法律责任。据 Forkast，FTC 主席 Andrew Ferguson 于 2026 年 9 月 25 日在奥斯汀的 Reuters Momentum AI 活动上表示：开发者对其 Agent 承担全部责任。他明确否定了「自主行动者」抗辩——即「具备足够自主性的 Agent 应被视为独立决策者、而非其创造者的工具」这一论点。这个立场收窄了任何开发者以「Agent 自主行动」为由主张免责的空间：如果是工具执行了指令，责任方就是开发者。对工程师而言，这条信号比任何路线图都更该被写进设计文档。

# The liability signal is the practical floor every team should design
# against, because it removes the most convenient excuse.

FTC_POSITION = {
    "speaker": "FTC Chair Andrew Ferguson",
    "where": "Reuters Momentum AI, Austin",
    "when": "2026-09-25",
    "rule": "developers bear full liability for their agents",
    "rejected": "the 'autonomous actor' defense",
}

def who_is_liable(agent_took_action: bool, developer_defined_it: bool) -> str:
    # If the tool carried out instructions, the developer is the liable party.
    return "developer" if (agent_took_action and developer_defined_it) else "escalate"

五、外部压力：EU 把高风险期限推后 16 个月

监管时间线不只是美国的事。据 Forkast，欧盟把 AI Act 的高风险期限从 2026 年 8 月 2 日推迟到 2027 年 12 月 2 日：欧洲议会于 2026 年 6 月 16 日以 423 票赞成、57 票反对通过该推迟，欧盟理事会于 6 月 29 日采纳。推迟还引入了新的「仅作辅助（merely assist）」豁免：仅辅助用户的 AI 功能不再自动归为高风险。理由很务实——行业技术标准尚未定稿——但这也意味着企业又多出约 16 个月，在没有约束性合规基准的情况下运行。当基准最终到来时，它将塑造全球预期，无论美国的联邦框架长什么样。

# The EU moved the other way in 2026: it delayed the high-risk deadline
# to give industry technical standards time to finalise.

EU_AI_ACT_DELAY = {
    "original_high_risk_deadline": "2026-08-02",
    "new_deadline": "2027-12-02",
    "parliament_vote": "423 for, 57 against (2026-06-16)",
    "council_adopted": "2026-06-29",
    "new_carve_out": "'merely assist' features are not automatically high-risk",
    "effect": "another 16 months without a binding compliance benchmark",
}

# Net position for enterprise teams: high deployment pressure, low
# regulatory cover. Governance responsibility is fragmented -- CISOs own
# it in 29% of orgs, CIOs in 27%, AI committees 24%, and 11% have none.

把治理责任明确到人，别让它悬空

六、企业团队现在能做什么

把这份梳理转成动作。第一，别等标准：既然最终一致要到 2027 年，就先自建一套可审计的最小控制面——身份、权限、动作日志三件套。第二，把责任信号前置到设计里：默认开发者承担全部责任，意味着每个 Agent 的关键动作都应可追溯到「谁定义、谁批准、做了什么」。第三，按治理条线补齐工具：用 API 密钥轮换给每个 Agent 独立的短期凭证，用 AI 代码审查给动作分支加复核，用 API 文档生成为每个 Agent 能力生成可审阅的说明书，用 OpenAPI 规范校验统一接口契约，用 Diff 检查器把配置变更纳入评审。第四，把治理责任明确到人——报告显示它在 CISOs（29%）、CIOs（27%）、AI 委员会（24%）之间分裂，甚至 11% 的组织没有明确归属，而这个空白本身就是一个风险项。