审计与合规可能是智能体最「应该」落地的行当：活儿重复、证据密集、标准明确，且每个步骤都要求说得清出处。10 月 14 日，GRC（治理、风险与合规）平台 Optro 在其年度用户会 CRX 上铺开一整排智能体产品，从自主测试一路排到「治理 AI 的智能体」。新闻稿是标准厂商文风，但里面藏着一个少见的、可被追问的客户账本：Reddit 的内审团队头三个月自动化了 175 项控制，覆盖四成以上 SOX 范围，单项测试时间平均缩短 60%。
一夜铺开的六个工种
产品清单按工种排：自主测试把智能体测试从 SOX 扩到全控制类型，靠自家分析能力做全量覆盖而不是抽样，自动证据收集「即将推出」；证据跟进智能体帮编制方在提交前补齐缺口，少让审计师追材料；风险评分智能体给出起始分，每条分附证据；持续合规智能体跑框架范围界定、证据收集与控制评估，但认定与签署仍归人；第三方风险管理智能体管供应商准入与尽调，政策由人配置；AI 自身治理智能体自动给 AI 系统建档，证据评估器标记已满足的控制——还有一个 AI Discovery 功能预览，专抓全公司的影子 AI，2027 年可用。
值得停一下的是最后一项。一家卖「管 AI」的公司，自己的产品线里出现了「管 AI 的 AI」——治理工具开始把治理对象扩展到同类工具，这个递归在 GRC 领域以前只存在于政策文件里，现在成了待交付功能。
Reddit 的账本，与它的边界
客户侧最实的读数来自 Reddit 内审：使用自主测试的头三个月，自动化 175 项控制、超过 40% 的 SOX 范围，单项测试时间平均缩短 60%；此后扩展到 75% 以上的 SOX 控制及其他周期性测试。Klaviyo 的内审负责人的说法是「测试不再捆在单一时间点，问题更早暴露、控制责任人更早修」。
读数要用对姿势看：数字来自客户发言与公司披露，不是独立审计；客户案例由厂商挑选，天然偏亮；「全量覆盖」省下的是体力不是判断——合规认定（attestation）在设计上仍归人。但这套叙事真正区别于过往「AI+合规」的地方在于频率：人工抽样是一年几次的快照，智能体全量测试是持续的流。控制缺陷的平均存活时间，因此头一回有了被压短的可能——这是结构性差异，比任何单点效率数字都更值得行业盯着。
放进赛道里看
这条线与本站上周拆的 Chainguard 三件套（1912）是一体两面：那篇讲「智能体写的东西怎么被相信」，这篇讲「相信智能体写的证据链怎么立起来」。再往上，Workday 分析师日（1899）把「智能体身份将超人类」写进身份治理叙事，Optro 的 AI Discovery 抓影子 AI、给 AI 建档，说的是同一件事的企业侧切面——当智能体成为企业里的新员工，GRC 的台账就得给它们开页。对厂商，「每步留痕、可引用、可审计」既是卖点也是枷锁：GRC 智能体自己的可靠性，从此也要按它服务的标准被审计。
需要保留的怀疑
新闻稿里那种排他式自我表述，连同「发布前数千次测试」这类说法，属于营销范畴，无法外部核验；智能体测试的证据链质量取决于底层数据接入深度，SOX 之外的长尾控制类型未必吃得住；自动证据收集还没交付，当前「全量覆盖」的成色要等它上线才好评估。合规这个市场，客户换供应商的成本高、周期长，早期读数漂亮不等于锁定。
目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。对内审与合规团队，这篇给出一个可抄的切口：别从「AI 能做什么」问起，从「哪些控制年年手工测、测完就过时」问起——那正是自主测试这类工具的回本期最短处。至于治理 AI 的智能体，建议先想清楚谁来审计审计者。