这周补的，全不是模型
把 11 月 3 日到 5 日的五条消息摆在一起，会看到一个共同点：没有一条在宣布更强的模型。Kimi 把 Harness 做成云端托管服务，把安全检查放到推理之前；CrowdStrike 把急停装在 AI 网关，顺手把上线前红队与上线后可观测性一起买下来；OpenAI 把人工复核放在漏洞流水线的末段，还给每一段标了 API 成本；Cognition 把编码模型的权重锁进申请制；自然选择让个人分身替人进社交网络，把「本人决定是否进一步交流」留在链路末端。五件事隔着五个赛道，动作却落在同一个位置：模型外面。
这不像巧合。过去约束智能体的办法多半写在模型里面——系统提示、对齐训练、输出过滤。麻烦在于这些东西跟着模型走：换一次底座就要重做一遍，出事之后也很难单独把证据取出来。约束搬到模型四周之后，模型可以换，网关、Hook、运行时和复核流程不用跟着换。治理与模型能力开始解耦，这才是本周真正的新东西，比任何一条单独的产品公告都更值得记。
中间那层被做成了商品
本站 11 月 2 日那篇稿子把运行时拆成看得见、拦得住、回得去三层，当时的判断是前两层各有进展，第三层几乎空白，而且缺口性质是责任不是技术。本周补上的是中间那层的产品化：急停有了产品名、可用状态和收购补链，并且明确把按不按开关留给人。9 月 Netskope 把判定前移到执行之前、思科开源面向轨迹的行为检测规则、OpenAI 摊开四层失准监测，都还在看和判这一侧；这一周，停头一回成了能下单的东西。
但第三层没动。切断之后已经发生的动作怎么回滚、误杀造成的业务损失谁承担、记录能不能跨厂商拿去审计，五条材料里都没有答案。更值得注意的是，新装上的约束点本身正在变成新的锁定位置：谁掌握网关、推理前检查、托管运行时与执行日志，谁就掌握「这个智能体当时到底做了什么」的解释权。约束从模型里搬出来了，却没搬到中立地带，而是搬进了各家的产品里。这跟此前讨论连接层协议标准化时遇到的问题很像——接口一旦由单家定义，迁移成本就跟着长在那儿。
三个还没答案的问题
其一，接口。各家的门长得不一样，推理前检查、网关策略、运行时钩子会不会收敛成一套通用协议，眼下没有迹象；OpenTelemetry 工作组关于持久智能体身份与人工批准记录的草案仍未定稿，站内写可观测性缺口时提过这一点。其二，记录。审计日志由同一家安全厂商生成，跨厂商互认、留存期限、格式标准都没有定论；飞行记录仪要真能拿去面对监管，得先解决谁来证明记录没被改过。其三，账单。本周把成本逐段写出来的，只有安全研究流水线那一例，企业场景里一次误动作究竟花在哪一环、由谁承担，几乎没人给得出可归因的数字。
这三个问题性质相同，都是规则题不是技术题。技术侧本周交出了相当具体的东西：一个能切断模型通路的开关、一个能放在推理之前的检查点、一套能算出每段开销的流水线。规则侧还停在以后再说。这也是为什么把这几条放一起读，比分开看五条公告更有价值——能力爬坡之后，该补的是交付与追责，而这一层没法靠换模型解决。
冷水：这是一个观察者的切法
得先把话说回来。把五条不同主体的发布串成一条线，是编辑的归纳，不是这几家公司共同宣布的战略，它们彼此之间没有协议也没有协调。五条里三条是厂商自述或发布口径，缺独立评测；CrowdStrike 两笔收购尚未交割，Kimi 的关键安全组件仍定向开放，个人智能体产品还在邀请制。所谓约束点外移，目前只是若干产品形态的相似，够不上已成立的行业结构。
判断能不能立住，看三个观察哨就够：控制点接口有没有出现跨厂商的事实标准、审计记录有没有互认案例、企业账单里有没有出现可归因到单个动作的智能体成本项。这三样在公开材料里都还没有。在那之前，更稳妥的做法是把本周当成一批可复用的工程零件来用——把安检点画进架构图、把留痕留全、把退出条件写进任务约束——而不是当成一份行业已经转向的结论。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。