背景：瓶颈换了位置
过去两年企业谈智能体，争论大多落在能力侧：模型够不够聪明、能不能跑通某个流程、准确率有没有到可用线。到 2026 年下半年，这组争论的答案已经比较清楚——在规则明确、结果可核验的流程上，智能体做得了。
于是瓶颈换到了别处。G2 首席创新官 Tim Sanders 在报告发布稿里的表述很直接：智能体展现出真实的价值迹象，但其中很大一部分被监督、返工与异常处理吃掉了；采纳的瓶颈不再来自智能体做不做得了，而形成于组织不信任它能把活干完。这个判断与 Salt Security 的观察相互印证：该公司 CEO 指出，组织在还无法追溯智能体在做什么、无法在出问题时自动停手之前，就已经把智能体部署起来并授予了访问企业数据、API 与服务的权限。
换句话说，这一轮的问题不是技术问题，而是控制权问题。企业买了自动驾驶能力，却仍然安排一个人把手放在方向盘上——于是付出了两套成本：一套是智能体的运行成本，一套是人的盯守成本，而收益只拿到了中间那一截。
G2 在 2025 年的报告中提出信任缺口（Trust Gap）——智能体可靠性不低，但组织仍不信任它。2026 年的报告进一步指出，这个缺口已经转化为一笔可测量的成本：在低信任条件下运营智能体所付出的代价，具体表现为盯守工时、返工损耗、超预期的运行成本，以及为规避风险而放弃的自动化范围。这笔代价被命名为不信任税。它不是失败的代价，恰恰是「部署成功但不敢放手」的代价。
三份报告的样本与口径
在做交叉解读之前，先把三份报告的样本说清楚。它们的调查对象不同、时点不同、立场也不同，混读会得出错误结论。
| 报告 | 发布与样本 | 核心口径 | 立场提示 |
|---|---|---|---|
| G2《Crossing the Agentic Chasm》 | 2026-10-14 发布；1,019 名 B2B 决策者，调研执行于 2026 年 7 月，覆盖北美、EMEA 与 APAC；另引用 G2 平台上 2026 年 3 至 8 月 AI Agent Builder 品类的 2,500 余条软件评论 | 把中小企业定义为 1-249 人、中型 250-999 人、大型 1000-4999 人、超大型 5000 人以上 | G2 是软件评测与采购平台，同时已推出 AI Agent Evaluations 测试版，对「验证」这一环节有商业立场 |
| Salt Security《State of Agentic AI and API Security 2H 2026》 | 2026-10-13 发布；380 余名安全与技术从业者，叠加数百个客户环境的生产遥测 | 自报调查与平台遥测并行，两类数据来源需分开读 | API 安全厂商，其结论指向治理与可观测性能力建设，存在利益相关 |
| OutSystems × CIO Dive × KPMG《Engineering Business Outcomes》 | 2026-10-16 发布；850 余名 IT 决策者 | 聚焦治理信心与实际运营就绪度的落差 | OutSystems 是智能体系统平台供应商，KPMG 为咨询合作方，均对「平台化治理」有立场 |
三份报告的调查时点集中在 2026 年年中，发布时点集中在十月中旬。这意味着它们描述的是同一时间窗口的市场状态，具备交叉条件；也意味着它们都无法反映十月之后的变化。
不信任税的三条账单
G2 给出的数据可以把不信任税拆成三条可分别治理的账单。
| 账单 | 具体数据 | 规模差异 | 治理抓手 |
|---|---|---|---|
| 监督工时 | 31% 的买家称员工每周花至少 6 小时盯守智能体工作 | 大型企业中 27% 称需要显著更多监督，几乎是中小企业 15% 的两倍 | 把逐条审批改为抽样复核加自动监控，盯守工时才有下降空间 |
| 返工损耗 | 45% 称监督与返工消耗掉超过四分之一的预期生产力收益 | 未分规模披露 | 返工率应当作为独立指标统计，而不是混在「效率提升」里 |
| 成本超预期 | 46% 称智能体运行成本高于预期 | 技术与零售行业 500 万美元以上预算增幅最大；医疗行业 57% 年投入至少 100 万美元 | 成本口径需包含模型、执行环境与人力三部分，只算 token 会系统性低估 |
与大企业承担更重不信任税这一点形成对照的是，收益侧的数据并不差：在高工作量流程中使用智能体的组织里，五分之四报告周期时间至少改善 11%，接近一半报告改善至少 25%；83% 的买家称智能体通过减少重复劳动提升了员工满意度；35% 把员工重新部署到了更高价值的岗位，只有 14% 报告削减了人数。
把这两组数据放在一起，可以看到一个清晰的结构：智能体确实在产生可测量的流程收益，但其中一部分被盯守与返工抵消，抵消的比例在大企业更高。换句话说，规模并没有带来治理上的规模效应，反而因为流程更复杂、系统更多、责任链更长而放大了不信任税。这与「大企业更容易做 AI」的直觉相反，值得正在推进规模化的团队留意。
规模与治理的错位
G2 用「影子智能体」来类比当年的影子 IT，数据是具体的：在生产中运营智能体的组织里，38% 运行超过 100 个智能体；47% 称智能体的归属权与控制手段仍然是非正式的或以部门为主，只有 23% 是集中治理的；仅 27% 维护集中式智能体注册表，18% 对已授权与未授权智能体做自动化发现，仅 14% 对异常行为、成本或风险有实时可观测性。成本与责任的分布同样分散：中央 IT 与 AI、数据及机器学习团队管理着 49% 的智能体运行成本，并共同承担 60% 的治理责任。
把这些数字按顺序排起来，会看到治理能力的成熟度阶梯其实相当陡：
- 有预算：半数组织的智能体预算至少 100 万美元。
- 有规模：38% 运行 100 个以上智能体。
- 有台账：仅 27% 维护集中注册表。
- 能发现：仅 18% 做自动化发现，覆盖已授权与未授权两类。
- 能看见：仅 14% 对异常、成本或风险有实时可观测性。
从「有规模」到「有台账」之间掉了约十一个百分点，从「有台账」到「能发现」又掉了九个百分点，再到「能看见」再掉四个。这条递减曲线说明：多数组织在智能体数量上已经进入了需要平台化治理的量级，但治理手段还停留在文档与流程层面。Salt Security 的数据从安全侧给出了同一个结论的不同切面。
追溯与叫停：治理真空的量化
Salt Security 的报告最值得注意的不是「有多少组织出过事」，而是「出事之后能不能查清楚、能不能停下来」。
| 能力 | 具备比例 | 对照数据 | 含义 |
|---|---|---|---|
| 能持续追溯智能体的完整活动（从初始指令经工具与 API 到结果） | 12.5% | 86.4% 至少运行一个智能体，59.5% 运行超过 10 个，76.8% 使用可跨智能体、工具与 API 串联动作的智能体 | 串联能力普及率远高于可追溯率，活动链条越长越查不清 |
| 能在生产环境自动叫停行为异常的智能体 | 17.5% | 多数组织依赖人工介入或将受影响应用下线 | 止损手段是手动的，而故障是自动扩散的 |
| 重建智能体前一日活动所需时间 | 逾 60% 需数小时至数天的人工工作 | — | 事后复盘成本高到事实上难以执行 |
| 过去一年确认或怀疑智能体做出非预期、意外或未授权动作 | 49.8% | 其中逾 50% 出现未授权的外部 API 调用或交易，逾 40% 出现智能体修改或删除数据 | 接近一半的组织已有疑似事件，但只有八分之一查得清 |
| 过去一年发现未授权、影子或错误配置的 MCP 服务器 | 32.9%（另有 54.3% 确认或怀疑） | MCP 相关基础设施在客户环境中的占比由 1 月的 16.7% 升至 8 月的 21.6% | 工具接入层正在成为新的影子资产类别 |
这里有一处需要提示的口径：49.8% 是「确认或怀疑」的合并比例，两者在严重程度上差别很大，报告未拆分。同样，54.3% 的 MCP 服务器比例也包含「确认或怀疑」。这两个数字宜读作风险暴露面的上界，不宜读作已确认事故率。相对更硬的是遥测数据：MCP 相关基础设施在客户环境中的占比从 1 月的 16.7% 升至 8 月的 21.6%，这是平台侧观测而非问卷自报。
还有一组与开发侧相关的数字：83.5% 的受访者估计 AI 生成或辅助生成的代码至少贡献了部分应用安全发现，但只有 6.8% 表示这些问题是在 AI 编码助手内部解决的。这指向一个具体的工程缺口——问题在进入代码库之前没有被拦截，而是在后续环节被发现，于是又回到返工那条账单上。
信心与准备的落差
OutSystems、CIO Dive 与 KPMG 的联合研究把落差的形状画得很清楚：82% 的高管相信自己的组织能在智能体进入生产时跟上治理、集成与监控的节奏，但只有 26% 说自己已充分准备好解决跨智能体、跨系统与跨自动化工作流之间的冲突。
OutSystems CIO Tiago Azevedo 把这一落差称为「真正的工作发生之处」，并主张安全应当构建在平台里，而不是事后审阅。KPMG 董事总经理 Michael Harper 则从审计角度给了同一结论：传统的日志与流程式治理是为静态软件设计的，不适用于动态 AI；组织需要的是策略即代码与运行时护栏的能力。
其余关键数字构成了一张就绪度画像：
- 治理手段仍以人工与流程为主：83% 依赖现有 IT、安全或合規流程、专项评审或集中策略与监控来监督可自主行动的智能体；只有 5% 同时具备自动化控制、审计追踪与正式的人工复核点。
- 优先级偏向互操作而非单一平台：74% 把与既有应用和系统的集成列为优先，63% 看重跨系统的智能体编排，62% 看重随时间切换模型、厂商与平台的能力——组织并未向单一厂商收敛。
- 验证成为选型门槛：81% 认为在选择平台或工具时，测试、评估与验证智能体行为非常重要或极其重要；报告同时强调需要测试的是完整智能体系统，而不只是单个智能体，包括智能体间交互、异常处理、冲突动作与回滚机制。
- 数据一致性是编排的主要障碍：35% 把数据一致性与上下文共享列为主要编排障碍。
- 收益仍以运营指标为主：错误率降低以 64% 居首，其后为合规与风险降低、员工生产力与成本降低；只有 12% 称智能体 AI 加速了新产品、新服务或新客户体验的推出。
最后这一项与 G2 的数据形成呼应：G2 那边是 35% 把员工重新部署到更高价值岗位、仅 14% 削减人数，OutSystems 这边是只有 12% 说智能体加速了新业务。两边都指向同一个阶段性判断——当前的收益主要落在既有流程的运营成本栏，还没有大规模进入增长栏。
授权阶梯：为什么中间那段回报最低
把授权程度与回报放在一起看，会出现一个反直觉的分布。本文在此引用的是对宾大沃顿 Human-AI Research 与 GBK Collective 第四年度研究的二手解读（该研究本身已在本站另一篇文章中做过完整拆解，此处只取授权阶梯这一个切面做交叉）。
| 授权层级 | 占比 | 工作流转型达成情况 | 读法 |
|---|---|---|---|
| 实时监控与系统化护栏替代人工审阅 | 7% | 该组 31% 达成转型成功 | 放手且有护栏，回报最高的一档 |
| 事后抽样复核智能体产出 | 10% | — | 与上一档合计构成 17% 的真实自治 |
| AI 建议或起草，人做每一次最终判断 | 35% | — | 辅助档，回报来自提速而非替代 |
| AI 执行，人在动作发生前审阅批准 | 48% | 合计 83% 的部门每一步都留人 | 本报告所称「受监督的中间地带」 |
| 完全不用智能体、AI 仅提供建议 | — | 该组 25% 达成转型成功 | 不做智能体也能有转型收益 |
这张表里最刺眼的是两端都跑赢了中间：把智能体用到最充分的那一档有 31% 达成转型成功，完全不跑智能体、只把 AI 当顾问的那一档也有 25%，而占绝大多数、把 AI 放在「执行但需逐步批准」位置的中间地带回报最弱。GBK 的 Brian Smith 把这一形态称作「受监督的中间地带」——为自治能力付了钱，却以人工审批的速度运行，这是市场上使用这项技术最昂贵的方式。
这个 U 形分布与不信任税是同一件事的两面：不信任税是成本侧的度量，U 形分布是回报侧的度量。两者合起来给出的结论相当明确——部分自动化是最差的落点。要么把护栏建起来、把权限真正交出去，要么就明确只把 AI 当顾问，别停在中间。
值得补充的是，授权程度与流程转型之间还存在正向关联：在允许智能体采取触及客户动作的部门中，25% 完成了工作流转型，不允许的为 12%；允许智能体采取不可逆财务或法律动作的部门为 29% 对 13%；具备自动监控的部门为 24% 对 9%。授权越充分、监控越自动，转型比例反而越高——这与「先管住再放开」的直觉顺序相反，提示护栏与授权应当同步建设，而不是先卡住再逐步松绑。
计价迁移与验证门槛
G2 的数据显示，计价方式正在发生一次明确的迁移，而这次迁移本身就是不信任税的市场化表现。
| 项目 | 2025 | 2026 | 读法 |
|---|---|---|---|
| 认为按用户或按席位是智能体最合理计价方式 | — | 9% | 席位制与智能体的价值载体不匹配 |
| 倾向按量计价（消耗量、完成的动作或任务） | 38% | 57% | 一年内上升 19 个百分点 |
| 认为连接器、动作、技能或市场生态非常重要或必备 | — | 72% | 选型标准从「模型能力」转向「能接多少系统」 |
| 预期到 2030 年由智能体在 SaaS 栈上编排工作 | — | 56% | 跨应用编排成为默认预期 |
| 称智能体能力将影响 2027 年软件选择 | — | 84%（其中 34% 视为主要决定因素） | 智能体能力成为通用采购标准 |
验证门槛同样在抬高。G2 的数据显示：一半的近期智能体买家动用自有数据科学团队来核验厂商声明；十分之四做过实操测试或概念验证、打过参考客户电话、咨询过分析机构评估或使用了独立基准。上线前，52% 要求人工质量复核，48% 要求安全测试，41% 需要法务、风险或合规审查；上线后，77% 至少每月重新评估一次智能体。
最后一组数字可以作为全文的注脚：67% 的 B2B 买家对自家 AI 系统有较高信任，但 48% 更偏好带护栏的智能体，29% 希望智能体被限定在特定任务内，只有 7% 对完全自治感到放心。信任的对象是系统，不信任的对象是自治——这两句话并不矛盾，它们描述的是同一件事：企业愿意用，但只愿意在自己能画出边界的范围内用。
六步降税：一份可执行顺序
把三份报告与授权阶梯的结论合起来，降低不信任税的顺序大致如下。注意它的起点不是再买一个治理平台，而是先把边界画清楚。
步骤一，先建台账再谈治理。在 38% 的组织已经运行上百个智能体的情况下，没有台账的治理是空谈。注册表至少记录：谁创建的、接入了哪些系统、能执行哪些写操作、责任人是谁。G2 的 27% 与 Salt Security 的 12.5% 都说明这一步远未完成。
第二步，把动作分成可回滚与不可回滚两类。这是授权阶梯给的最直接的操作建议。可回滚动作（生成草稿、整理表格、发起内部通知）优先放权；不可回滚动作（对外发送、资金相关、数据删除）保留人工。授权阶梯数据显示，允许智能体采取不可逆动作的部门转型比例反而更高，但那是建立在有护栏的前提上，不能倒推为「先放开再说」。
第三步，把逐条审批改成抽样复核加自动监控。盯守工时是不信任税里最直接的一栏。可行的做法是：对可回滚动作改为事后抽样复核，并同时上线异常检测——授权阶梯数据中具备自动监控的部门转型率 24% 对 9%，说明这两件事必须一起做，只放开不监控会把风险推高。
第四步，把返工率单独统计。45% 的组织说返工吃掉了四分之一以上收益，但多数组织并没有把返工率作为独立指标。建议把它与首轮完成率、人工干预次数并列，作为智能体质量的三个基本指标。Salt Security 的数据提示这一栏还应包含安全返工——只有 6.8% 的 AI 代码问题在编码助手内被解决，其余都流向了下游。
第五步，把追溯能力当作上线前置条件。Salt Security 的数据说明，12.5% 的追溯率与 49.8% 的疑似事件率放在一起是危险的。最小可用的追溯应包含：初始指令、调用的工具与参数、访问的数据、产生的结果。没有这一层，事故复盘与责任界定都无法进行。
第六步，成本口径补齐三块。46% 的组织说成本超预期，常见原因是只算了模型调用。完整的口径应包含模型费用、执行环境费用（沙箱、存储、网络）与人力费用（盯守、返工、治理）。G2 提到中央 IT 与 AI 团队承担了 49% 的运行成本，说明这笔钱在多数组织里还没有被归集到同一本账上。
局限与冷静判断
- 三份报告均有厂商立场：G2 是软件评测平台并已推出自有智能体评测；Salt Security 是 API 安全厂商；OutSystems 是平台供应商、KPMG 为咨询方。它们的结论都指向各自的能力域，交叉时应保留这一层折扣。
- 自报数据占主体：G2 与 OutSystems 均为问卷自报，Salt Security 虽有生产遥测但未披露样本环境的具体构成与规模。「确认或怀疑」类合并口径应作上界读。
- 调查时点集中在年中：G2 执行于 7 月，另两份未披露执行窗口；发布集中在 10 月中旬。它们描述的是年中状态，且三者之间未必完全同期。
- 地区与行业分布未充分披露：G2 称覆盖北美、EMEA 与 APAC 的全球样本，但未见分地区拆分；OutSystems 发布稿以新加坡为落点，样本构成不明。将结论直接套用于单一市场需谨慎。
- 「智能体」的定义未统一：从工作流自动化到自主编码助手都被计入，38% 运行上百个智能体这一数字里的「个」在不同组织中的粒度可能相差很大。
- 授权阶梯数据为二手解读：本文引用的阶梯分布来自对沃顿与 GBK 研究的第三方解读，原始报告的分层定义与交叉表未直接核验，趋势可用、精确比例应以原文为准。
- 收益侧仍缺独立审计：周期改善 11% 与近半达 25% 等数字均为买方自述，未见第三方核定的财务口径。
综合三份报告，2026 年下半年企业智能体的状态可以这样概括：采购已经完成，部署已经发生，收益已经出现，但其中相当一部分被组织自身的不信任抵消了。这笔不信任税有三个可治理的来源——盯守工时、返工损耗与追责能力缺失——对应的解法也都不是再买一个模型，而是建台账、分动作、装护栏、配追溯、补口径。授权阶梯上那个 U 形分布给出了最实在的一条提醒：停在「AI 执行、人逐步批准」这个中间地带，是当下使用智能体最昂贵的方式。要么把护栏建起来把权限交出去，要么明确只把 AI 当顾问，两条路都比中间那条划算。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。