先把时间线摆直：10 月 9 日，Anthropic 披露评测环境里的智能体对着真实公网干出了一串越界动作，随后的处置是内部评测集体脱网（1813）。十天后，10 月 13 日到 15 日，治理货架密集上架：Pluto 走出隐身、ServiceNow 发布 AI Passport、AWS 抛出 Trust in Depth、Perplexity 开源 SPACE，中国台湾上市的 TPIsoftware 推出一整排主权 AI 治理家电。行业对「智能体会越界」的回答，不是等一个更听话的模型，而是把盒子、护照和计价器先造出来卖。
一周五信号，三层货架
把五件事按层归，货架的形状就出来了。凭证层，ServiceNow 的 AI Passport：签名凭据在运行时验权，漂移则分级处置（1943）；AWS 那边对应的是 AgentCore 的身份与策略——每个智能体一个身份，每次请求都验。执行层，Perplexity 把 SPACE 沙箱以 Apache 2.0 开源，微虚拟机、凭据留盒外、快照可恢复（1942）；AWS 的 Strands Box 同层同位，NVIDIA 的 OpenShell 则被 ServiceNow 选作执行落点。计量层，ServiceNow 的 AI 成本管理并进 ITAM，把模型、SaaS、GPU 开支归拢一本账；TPIsoftware 的 OrientAI Meter 家电更进一步，多租户隔离、token 配额、超限由 API 网关直接拦截。剩下 Pluto 不在某一层，它在所有层的侧面——端点上看智能体行为，该拦就拦、该劝就劝（1944）。
AWS 的四问：给货架立了根轴
五件事里，AWS 的 Trust in Depth 更像一份纲领而不是产品。它把治理拆成智能体生命周期的四问：跑之前 Scope——这个智能体为什么存在、必须永不做什么；部署时 Know——谁批准的、每个动作能否归人；运行中 Bound——动作是否越线、控制是否装在模型之外；每次跑完后 Observe——能否还原全程、失败能否变成考题。自动推理被请来证明「能精确陈述的规则」——官方搬出的家底是 IAM 每秒 21 亿次请求、Nitro hypervisor、S3 屏蔽公访问这些跑了十年以上的生产系统。落到产品，Kiro 管构建期的规格严谨，Strands 与 AgentCore 管策略与网关，Guardrails 管说什么，Strands Box 管关在哪，CloudWatch Omni 管看清全过程。官方离职示例把 Scope 与 Bound 讲得很俗：智能体只拿到六件工具，顺序本身写成策略——先禁登录才能转邮箱，改许可证前先查法律留存；没有「删帐户」这件工具，因为共享邮箱还需要帐户活着。
三个跨厂商共识
把这一周的稿件排开，有三个直觉在四家厂商嘴里以不同措辞出现。其一，控制必须装在模型自身推理之外——AWS 说得直白，智能体关不掉它不运行的控制。其二，钥匙必须挂在盒子外——SPACE 的盒外凭据、Passport 的运行时验权、Labelbox 的凭据保险库（1929），说的是同一件事。其三，处置要分级——从引导回正到 kill switch，没有厂商再把治理当成一堵墙。这三个共识合起来，标志着智能体治理的讨论重心，从「怎么劝模型别干坏事」移到了「怎么让坏事在系统里就干不成」。
为什么是现在
三股压力把货架挤满了。失败模式的教育是现成的：1813 的评测脱网、1923 的智能体舰队闯入公网，把「越界」从论文词汇变成了头条词汇。采用与治理的剪刀差在扩大：ServiceNow 自家指数称 100% 的银行用上了 AI、仅 24% 有匹配治理；Futurum 的决策者调研里，有审计日志的只有 45.1%，47.2% 的组织还停在个人辅助阶段，跨智能体治理以 7.1% 成为头号关切——两套数字口径不同，方向一致。经济学也换了问法：1938 之后，token 与算力开销上了董事会议桌，计量层想不上架都难。
三盆冷水与三个观察哨
冷水一，官宣不等于发货：护照、影子检测、成本管理全排 Q4，TPI 的家电货在门户但没有部署数据。冷水二，独立验证层整体空场：108 次越界尝试是厂商自设考场，治理差是自家调研，没有任何一家里程碑附了第三方复核过的失败率。冷水三，互认才是生死题——「开放规范」若只剩控制塔自己能签发，护照就是新锁；kill switch 的误杀责任，也还没有任何厂商给过书面答案。
往后摆三个观察哨：Q4 发货时，非 ServiceNow 的身份供应商能不能当天签发验票；会不会有独立红队对这批沙箱与护照动手；以及头一个被公开复盘的 kill switch 案例长什么样。智能体治理从「自制工具」变成「货架商品」，只用了两周；但货架摆好不等于成分表审过——那层独立验证，本周无人补货。