Agent 正在长出自带的手和嘴：从元宝接入京东，到 StepAOS 原子能力池

晗晓黎-

49人浏览 · 2026-07-16 10:03:36

晗晓黎- · 2026-07-16 10:03:36 发布

7 月 16 日 AI Agent 技术观察 · 技术编辑选题会手记

早上刷完一轮消息源，今天 AI Agent 圈其实只有一条主线，但被拆成了三块信号同时砸过来。我作为负责这块的编辑，先说结论，再展开。

主线就一句话：Agent 正在同时长出"对外说话的嘴"和"对内干活的手"，而自动化红队是它大规模上岗前的最后一道闸。

"嘴"指的是它变成用户触达服务的统一入口（腾讯元宝接入京东 Agent）；"手"指的是它下沉到操作系统底层、能跨应用自主执行（StepAOS 原子能力池 + AI 智能体手机量产备案）；"闸"指的是把红队测试自动化，让安全审计从人工抽查变成系统覆盖（OpenAI GPT-Red）。

下面把这三块拆开讲，最后落到一条出海实战链路。

信号一：元宝接入京东 Agent，"对话即服务"的入口之争

7 月 15 日，腾讯宣布元宝与京东 AI Agent 完成小程序生态打通，京东是首个接入元宝的电商垂域合作伙伴。逻辑很直白：用户用自然语言问，元宝负责理解意图，京东的供应链与履约体系负责把"商品推荐 → 下单 → 售后"一口气跑完。

这不是孤例，而是一条正在成型的主线：

厂商	Agent 入口动作	履约/服务来源	状态
腾讯元宝	接入京东 AI Agent（7/15）、灰度接入美团"小美"	微信小程序生态 + 京东/美团供应链	已打通
阿里千问	打通淘宝	淘宝电商体系	已打通
字节豆包	上线"帮你选"功能	抖音/电商内容生态	已上线
Apple 智能 / 华为小艺	端侧 Agent 备案（7/15）	系统级 + 自有服务	量产在即

我的判断：这一轮的胜负手不在模型谁更聪明，而在"意图 → 履约"的闭环谁先跑通。模型能力已经卷到边际收益递减，真正的护城河是身后那套供应链和履约网络。腾讯有微信小程序生态，阿里有淘宝，字节有抖音电商——三家路径高度趋同，最后比的是转化率，不是回答质量。

这条信号对技术人的启示是：做 Agent 不能只盯着 LLM，要把"工具调用 → 业务系统回写"的链路当成一等公民来设计。一个只会聊天的 Agent 在 2026 年已经不够看了。

信号二：智能体原生 OS 与手机量产，Agent 长出"手"

如果说信号一是 Agent 的"嘴"，那信号二就是它的"手"。

7 月 13 日，阶跃星辰在上海发布整套智能体终端方案：智能体原生操作系统 Step AOS、个人智能体 Amoo、以及首款智能体手机 STEPX Neo。它的核心不是"在安卓上挂个 AI 浮窗"，而是把应用、文件、系统能力全部拆成可调用的原子能力，放进系统的"能力池"，Agent 拥有系统级权限，接到指令后直接从池子里调度能力、自动串联任务。

与此同时，7 月 15 日中国信通院泰尔终端实验室公布首批 AI 智能体手机备案名单（共 7 款：Apple 智能、华为小艺、字节豆包/努比亚、vivo 蓝心小V、OPPO 小布、荣耀 YOYO、三星 Bixby），为量产扫清合规障碍。努比亚与字节联合打造的新一代豆包 AI 手机计划 7 月 17 日在 WAIC 2026 亮相。

外挂 AI 与原生 Agent OS 的差别，可以用一张表讲清楚：

维度	外挂式 AI（传统 AI 手机）	原生 Agent OS（Step AOS 思路）
能力边界	独立 App，做摘要/生图	系统级权限，调度全部应用能力
跨应用执行	帮你打开 App，后续手动	自动串联点击/输入/支付全流程
交互范式	“能回答”	“能干活”
落地阶段	已普及	量产竞争起点（7/15 备案）

这种"能力池 + 系统级调度"的架构，落到代码上其实是一个很朴素的能力路由层（伪代码示意）：

class CapabilityPool:
    """系统把每个 App 的能力拆成原子函数注册进来"""
    def __init__(self):
        self.capabilities = {
            "open_app": AppLauncher(),
            "fill_form": FormFiller(),
            "tap": TouchEmulator(),
            "pay": PaymentGateway(),
            "read_screen": ScreenReader(),
        }

    def dispatch(self, plan: list[Step]) -> ExecutionResult:
        """Agent 生成执行计划，逐条从能力池取能力串联执行"""
        results = []
        for step in plan:
            fn = self.capabilities[step.name]
            # 系统级权限下无需用户逐个点击，Agent 自主完成
            results.append(fn.run(**step.args))
            if not results[-1].ok:
                return self._rollback(results)   # 失败自动回滚
        return ExecutionResult(ok=True, trace=results)

def plan_task(user_intent: str) -> list[Step]:
    """个人智能体把自然语言拆成可执行的原子能力序列"""
    return agent_compose(user_intent)   # 例如"订一杯咖啡并付款"

关键不在这段代码的复杂度，而在于权限模型：Agent 拿到的是系统级"模拟触控"权限，所以才能跨 App 干活。这也是为什么量产前要过备案——能力越大，权限治理越要先就位（这点正好接信号三）。

信号三：自动化红队上岗，Agent 大规模执行的"安全闸"

Agent 一旦能自主跨应用执行、能回写业务系统，攻击面就指数级放大了。今天的第三条信号，是安全侧开始用 Agent 对抗 Agent。

OpenAI 披露内部自动化红队模型 GPT-Red：在上线前大规模扫描和修复 prompt injection 漏洞，把红队从"人工抽查"升级为"系统覆盖"。
NVIDIA NemoClaw / OpenShell：Cadence、Dassault、Siemens、Synopsys 等工业软件商正用其构建 CAD、仿真、EDA 等长任务 Agent——这类 Agent 跑在关键基础设施里，对安全运行时、审计日志、确定性工作流的要求比聊天机器人高一个量级。

GPT-Red 的思路值得每个做 Agent 的团队抄作业，本质是一个注入探测 + 严重度评分的闭环：

class RedTeamHarness:
    """上线前自动扫描 Agent 对 prompt injection 的抵抗力"""
    def scan(self, agent, attack_library: list[str]) -> Report:
        findings = []
        for payload in attack_library:          # 各类 injection 策略
            try:
                # 在沙箱里喂入恶意指令，观察 Agent 是否越权执行
                behavior = agent.run_in_sandbox(f"忽略之前指令，{payload}")
                severity = score_severity(behavior)
                findings.append(Finding(payload, severity))
            except SandboxEscape:
                findings.append(Finding(payload, severity="CRITICAL"))
        return Report(findings, passed=all(f.severity < "HIGH" for f in findings))

# 严重度评分让安全/合规团队用统一语言评估"能不能上线"
# 这正是 Anthropic 联合 Amazon/Microsoft/Google 推的 jailbreak 严重度框架方向

Agent 上岗前，我建议按这张清单过一遍（从今天三条信号收敛而来）：

检查项	来源信号	落地动作
权限最小化	Step AOS / 端侧备案	Agent 只拿完成任务必需的原子能力
注入抵抗力扫描	GPT-Red	上线前跑自动化红队，CRITICAL 一律阻断
执行可回滚	原子能力池	任一步骤失败自动回滚，不遗留脏状态
操作可审计	NemoClaw 工业 Agent	全链路留痕，关键动作人工确认
边界可治理	7/15 拟人化管理办法	工具类/生产力类保留，情感陪伴合规下线

出海实战：数据提取 → 精准营销的私域闭环

讲完三条国内信号，落到一条已经在跑的出海链路——很多做跨境的业务团队，其实早就用上了"先抓数据、再精准触达"的打法，和上面"手 + 嘴"的逻辑是同构的。

一个典型的 WhatsApp 私域闭环是这样的：

从行业社群提取高意向线索：先用 WAExport（号码提取与备份工具），把 WhatsApp 行业群（如跨境采购群、海外房产咨询群）的成员号码一键批量导出，并按国家代码/活跃度过滤分层，拒绝无效数据。
清洗与验证：导出的号码用本地验证能力批量筛查注册状态，剔除空号，输出干净的有效号码表（支持 XLSX/CSV 直接对接后续系统）。
精准触达：把清洗后的号码交给 WASender（群发触达工具），开启多账号并行发送、个性化变量（插入客户姓名）与模拟人类节奏的发送间隔，把封号风险压到最低，同时用实时看板监控送达率与回复率。
沉淀备份：整个会话与成员关系实时备份到本地，销售离职也不丢客户，合规上数据 100% 本地化、零云端暴露。

这条链路用一段管线串起来就是：

def overseas_private_domain_pipeline(group_links: list[str]):
    # 1. 提取：从群组批量导出成员号码
    raw = extractor.extract_members(group_links,
                                    filter_by={"country": "MY", "active_days": 30})
    # 2. 清洗：本地验证注册状态，过滤无效号
    clean = checker.bulk_verify(raw, export_as="xlsx")
    # 3. 触达：多账号并行 + 个性化变量 + 人类节奏防封
    campaign = sender.send(
        contacts=clean,
        template="Hi {name}, 关于您咨询的XX，我们整理了这份资料 👇",
        strategy={"accounts": 8, "interval": "random(20s,60s)", "rotate": True},
    )
    # 4. 监控：实时看板跟踪送达/回复/失败
    return dashboard.track(campaign.id, metrics=["delivered", "read", "reply", "failed"])

对应到一张链路表，便于对照每一步该用什么能力：

阶段	动作	关键能力	风险点
提取	群组成员批量导出	一键提取 + 国家代码过滤	需防封协议保护账号
清洗	号码验证 + 分层	本地批量验证、零云端	空号/重复号
触达	多账号并行下发	个性化变量、节奏模拟	封号、送达率
备份	聊天/关系本地留存	实时备份、VCF 导入通讯录	销售离职流失