九成说管得住，四成拿不出证据：四份十月材料量出的智能体可核验缺口

背景：治理的语言正在从「有没有政策」换成「拿不拿得出证据」

过去两年企业谈智能体治理，主要谈的是有没有政策：有没有原则声明、有没有审批流程、有没有责任人。到 2026 年下半年，问题变了。欧盟人工智能法案与个人数据保护条例这类框架的共同要求是能说明数据去了哪里、哪个组件在跑、谁做了什么——这些都不是政策能回答的，要靠记录。

这个转变让一类老问题重新变得尖锐：自我评估与可证明状态之间长期存在系统性偏差。人对自己组织的判断，天然以意图与制度为准；外部审计则以可提取的证据为准。四份十月材料的价值就在于，它们各自问了同一组问题的两面——你觉得自己管得住吗，以及你能拿出来什么。

本文不打算再论证「治理很重要」，而是做三件事：把四份材料的样本与口径摊开，把每处自信与可证明之间的落差算成区间，以及把散落在不同材料里的证据链按覆盖率排出顺序。需要说明的是，四份材料里有三份由厂商发起，其中两份的产品恰好指向报告揭示的缺口，阅读时应把利益关联记在心里。

四份材料：谁发的、问了谁、样本多大

发布方	发布时间	样本	核心问法	利益关联
Red Hat	2026 年 10 月 27 至 28 日	1,400 位 CIO，14 个 EMEA 国家	先问治理信心，再问数据流向、供应链与供应商监控的可证明程度	销售开源与混合云底座，指向报告揭示的可见度缺口
Graphwise（由 MarketsandMarkets 执行）	2026 年 10 月 27 日	380 余位企业负责人，跨行业	问幻觉频率，并按锚定方式与语义管理手段交叉	销售企业知识图谱与语义底座，直接指向报告中采用率约 19% 的那一项
Wiz	2026 年（报告全年）	100 位高级 IT 与安全决策者（CxO、副总裁、总监）	问 AI 资产清单完整度、影子 AI 与智能体自主性	销售云与 AI 安全平台，包含 AI 资产图谱能力
Foundry（联合 Rubrik）	2026 年（报告全年）	200 位 IT 与 AI 决策者	问智能体自主程度、规模化障碍与已发生的事故类型	Rubrik 销售智能体治理与回滚产品

样本量差异很大：红帽的一千四百人是四份里最厚的，且覆盖十四个国家，可以做国别对照；Wiz 的一百人与 Foundry 的两百人属于小规模高管样本，方向可信、精度有限，不适合做小数点级别的比较。下文引用这两份材料时，只取它们的结构性结论，不做跨材料换算。

红帽：86.7% 的自信与 39.6% 的完整可见度

红帽的问卷设计有一个巧妙之处：它先问一个高层问题，再问一组操作问题，两组问题的答案构成一组对照。EMEA 汇总口径如下：

问题	比例	属于哪一层
有信心能安全合规地治理已部署的智能体	86.7%	自评
相信自己知道 AI 相关数据在哪里被处理、存储与共享	84.8%	自评
承认在追踪数据流向方面存在轻微盲点	45.2%	自评（反向）
对自身数据总体可见度表示完全有信心	39.6%	可证明
能在补丁可用后 24 小时内部署关键安全修复	76%	能力声明
保有完整且持续更新的开源供应链视图（含直接与间接依赖）	32.9%	可证明
能看见主组件但看不清第三方应用内嵌套的开源库	43.0%	可证明（部分）
对 AI 供应商风险建立了正式、可衡量的持续监控标准	34.4%	可证明
供应商接入后完全不做持续风险监控	19.7%	可证明（反向）

这张表最扎眼的一对数字是 86.7% 与 39.6%：同一批 CIO 里，说管得住的比能证明看得全的，多出 47.1 个百分点。

红帽自己的表述也点明了机制：高层政策意义不大，如果 IT 团队不能在混合云环境里实时追踪数据流动。值得注意的是 43.0% 那一档——这些组织能看见主组件，但看不清嵌套在第三方应用里的开源库。这一档比「完全看不见」更危险，因为它会给出一种「我列过了」的错觉。

国别读数：自信几乎是常量，可追溯性是变量

红帽按国别披露了部分数据，把三个国家的读数并排，会出现一个很反直觉的现象：

国家	已在生产部署智能体	对智能体安全合规有信心	能准确追踪数据存处与流向	完整供应链视图	持续监控 AI 供应商风险
德国	94%	未在同批披露	未在同批披露	未在同批披露	未在同批披露
南非	99%	93%	61%	44%	48%
阿联酋	未在同批披露	91%	42%	33%	36%
沙特（仅数据流向可见度）	未在同批披露	未在同批披露	46%	未在同批披露	未在同批披露

把有完整配对的两国放在一起看：南非与阿联酋的治理信心分别是 93% 与 91%，相差 2 个百分点；而能准确追踪数据流向的比例是 61% 与 42%，相差 19 个百分点。也就是说，自信度在不同国家之间几乎不动，而可追溯性随国家变动很大。这不是说某一国的 CIO 更诚实，而是提示「有信心」这个答案更像一种组织文化常量，而「能追溯」才是真正随投入变化的能力变量。对跨地区运营的集团，这意味着不能拿总部所在国的自评去推断其他区域的实际状态。

另有一处细节值得留意：阿联酋有 50% 的受访企业报告在数据流向可见度上存在轻微盲点，其中 7% 已经在没弄清数据流向的情况下引入了 AI 功能；南非对应为 28% 与 9%。这类「先上再说」的比例看似不高，但考虑到样本是 CIO 而非普通业务部门，实际由业务线自行引入的比例大概率被低估。

供应链：76% 的二十四小时修补与 32.9% 的清单

红帽关于软件供应链的那组数字，是整份材料里工程含义最直接的一处。76% 的组织声称能在补丁可用后 24 小时内部署关键安全修复；但只有 32.9% 保有完整且持续更新的开源组件视图（含来源、版本号与直接与间接依赖），另有 43.0% 只看得到主组件，全部国家平均略低于三成三。

这两件事在流程上是串联的：要知道该补哪里，先得知道自己在用什么。间接依赖的危险之处恰恰在于它隐藏在别人交付的东西里——一个开源项目往往内嵌了别的团队写的库、框架与组件，而这些组件不会出现在你自己的采购清单上。红帽的表述相当直接：当一个零日漏洞出现在深度嵌套的间接依赖里，无论修补团队多快，清单不全的组织依然暴露在外。

供应商风险的那一组也是同一种结构：多数组织在引入 AI 供应商前会做充分评估，但接入之后持续验证急剧下降，34.4% 建立了正式可衡量的持续监控标准，19.7% 完全不做。模型会漂移、数据使用政策会变、依赖每天都在演化——把供应商风险当成一次性采购动作，本身就是与时间尺度不匹配的。

红帽 EMEA 高级副总裁兼总经理 Chris McBrayne 的总结是：各国自评略有差异，但多数相对有信心能监控和控制智能体；然而这种对自身能力的信心并不总是成立，研究显示数据流向、软件依赖与供应商风险三处缺少全面且持续的透明度。中东与北非总经理 Adrian Pickering 则说得更直接：有效的 AI 治理不只依赖政策和审计流程，首先需要的是全面可见性。

本文推算：自信者里拿不出证据的比例在 54% 到 70% 之间

86.7% 有信心、39.6% 完全可见，这两个比例来自同一批受访者，因此可以用容斥原理给出交集的取值范围。两个集合交集的下界是两者之和减去 100%，即 26.3%；上界是较小者的比例，即 39.6%。

把这个范围折算到「有信心的那 86.7% 里」：其中同时具备完整可见度的比例，最低为 26.3 ÷ 86.7 ≈ 30.3%，最高为 39.6 ÷ 86.7 ≈ 45.7%。反过来，有信心但拿不出完整数据可见度的比例，落在 54.3% 到 69.7% 之间。

必须说明这个区间的含义：它是两个比例在同一批样本上必然满足的算术约束，不依赖任何独立性假设，因此比任何单点估计都稳健。区间之所以这么宽，是因为我们不知道两类回答是否相关。但即使是区间里最乐观的那一端，也意味着过半的自评合格者拿不出完整证据。

同样的算法可以用在第二对数字上：84.8% 相信自己知道数据在哪里，39.6% 对总体可见度完全有信心，两者相交的下界为 24.4%，上界为 39.6%。也就是说，「知道」与「能证明知道」之间至少隔着 45.2 个百分点。这里有一个巧合需要澄清：45.2 恰好也是「承认存在轻微盲点」的比例，两者数值相同纯属偶然，不能互相印证。

本文推算：修补速度与清单覆盖可能几乎不重叠

把 76% 与 32.9% 做同样的处理：交集下界为两者之和减去 100%，即 8.9%；上界为 32.9%。折算到「能在 24 小时内打补丁的那 76% 里」，同时保有完整清单的比例最低为 8.9 ÷ 76 ≈ 11.7%，最高为 32.9 ÷ 76 ≈ 43.3%。

这个区间的下界接近零，含义是：这两件事在极端情况下可能几乎不重叠。换句话说，存在一种完全自洽但不那么令人安心的状态——一支修补很快的团队，和一份不完整的清单，可以同时成立且互不干扰。

更实用的读法是反过来算：在那些声称 24 小时能修好的组织里，至少 56.7%（即 1 减去 43.3%）的修补承诺缺少清单支撑。这些组织仍然能修——他们能修自己知道的那部分组件；他们不知道的那部分，补丁再快也送不到。对管理层而言，这条推算的价值在于它把「修补速度快」从一项能力指标，降级为一项在清单完备前提下的条件能力。

锚定方式决定幻觉频率，而知识图谱只占约 19%

Graphwise 联合 MarketsandMarkets 的这份材料，问的是一件更靠前的事：AI 输出为什么会错，以及什么做法能让错误变少。它给出的交叉结果是四份材料里对比最鲜明的一组：

锚定方式	采用率	报告幻觉非常频繁	报告幻觉很少发生
仅向量检索	约 31%	53%	0%（没有组织报告很少）
混合方式	约 32%	未在同组披露	未在同组披露
知识图谱锚定	约 19%	0%（没有组织报告非常频繁）	60%

全样本层面的幻觉分布是：25.6% 报告非常频繁、45.2% 报告偶尔发生、27.9% 报告很少发生，三者相加约 98.7%（四舍五入所致）。折算下来，约 70.8% 的组织至少偶尔会遇到幻觉。

把采用率与幻觉率相乘，可以得到一条更有操作性的读数：全样本中约 31% × 53% ≈ 16.4% 的组织，同时处在「只用向量检索」与「幻觉非常频繁」这两种状态里。而知识图谱那一组里没有一家报告非常频繁。两组在「报告非常频繁」这一档上的差距是 53 个百分点——这是一个上限口径的差距，因为知识图谱组的分子为零，无法计算相对风险，只能说其频率上限为零。

当然，先要说明因果方向：采用知识图谱的组织通常也是数据治理投入更大的组织，锚定方式与错误频率之间很可能是共同原因的结果，而非单向因果。但即便只按关联看，「一种已知更好的做法只有约 19% 的组织在用」这件事本身，就与前一份材料的形状完全同构——自评很高，可证明的能力很薄。

材料里还有一组能佐证这种同构：49% 的组织预期 AI 会在两到三年内根本改变业务，但只有 28% 已部署企业范围的 AI 战略，两者相差 21 个百分点；36% 已规模化多个用例，30% 仍在跑若干试点，6% 还在探索。

想要的信任手段很集中，装上的校验很分散

这份材料还有两组数字，构成一对耐人寻味的对照：企业说想要什么，以及企业实际装了什么。

想要的信任杠杆	比例
数据治理	62.8%
引用与出处	61.5%
人工复核	59.9%
按规则校验	58.6%

四项都在 58.6% 到 62.8% 之间，极差只有 4.2 个百分点，平均约 60.7%。这个集中度说明：企业对「怎样才敢信一个输出」的答案其实相当一致，不外乎数据治理、出处、人看一眼、按规则过一遍。

但落到安装状态上，就散了：只有约三分之一的组织按业务规则校验输出；在输出到达用户之前完成校验的，完全实施的为 35.7%，部分实施的为 29.4%，仍在开发的为 34.9%（三项相加恰好 100%）。也就是说，64.3% 的组织没有把校验完全装到位。

语义一致性那一组是同样的分散：42% 仍在用电子表格维持数据含义的一致，紧随其后的是分类法与本体 41.9%、治理框架 39.6%、元数据目录 38.8%、企业知识图谱 37.2%（多选，合计约 199.5%，平均每家约两种）。而用电子表格的组织里，37% 报告频繁出现含义冲突；用本体或知识图谱的这一比例是 26% 到 30%。两组相差 7 到 11 个百分点——这再次说明，手段选择与结果质量之间有可测量的关联，而选择往往不是按结果做出的。

另有一处结构性数据：三分之二的组织没有中立的知识归属位置，知识层分布在多个系统的占 35.7%、锁在单一厂商里的占 30.7%、放在厂商中立且基于标准的层上的只有 32.3%。与此同时，67% 的组织把 AI 与数据架构的厂商独立性评为关键或非常重要。

清单这一环最薄：55% 在跑，17% 列得全

Wiz 的样本只有一百人，但它问了一个其他材料没问的问题：你能不能列出自己正在跑的 AI 系统。

指标	比例
报告完全没有活跃使用 AI	5%
主动部署自主智能体系统	55%
在生产中运行超过 25 个不同 AI 系统	31%
保有完整且及时更新的 AI 资产清单	17%
其余（部分可见、按团队碎片化记录、完全没有集中机制）	83%
过去一年在内部发现过未授权 AI 应用	52%
正式允许团队无需中央审批即可部署 AI 工具	35%
承认完全没有检测未授权 AI 工作负载的机制	9%

关切项的排序也很有信息量：未授权访问敏感数据 70%、未受监控的自主决策 54%、权限过大的身份 53%，其后是未受监控的智能体行为 45%、系统间横向移动 24%、未经验证的工具接口 23%。前三项里有两项指向身份与权限，一项指向自主性——这说明受访的安全负责人已经把智能体当成一类独立的行为主体，而不是一个文本生成器。

投入侧的碎片化同样明显：26% 把治理与跨职能归属复杂度列为最想消失的痛点，略高于自主性与服务账号令牌访问；43% 仍在用遗留云工具勉强覆盖 AI，38% 有专门的 AI 安全预算，37% 依赖自制脚本。把资本分散在互不连通的点工具与自制脚本上，会形成彼此隔离的遥测孤岛。

治理已超过回报，成为规模化的主要障碍

Foundry 联合 Rubrik 的调研，给出的是智能体自主性与障碍排序：

指标	比例
允许智能体以完全自主方式行动	26%
允许智能体以有限自主方式行动	35%
把治理、护栏与合规列为智能体落地的关键障碍	42%
把智能体管理列为关键障碍	18%
把安全与治理列为规模化最大障碍	24%
把技术复杂度列为规模化最大障碍	17%
把缺乏已验证投资回报列为规模化最大障碍	14%
曾遇到智能体或聊天机器人传达虚假或错误信息	49%
确认智能体外泄数据或造成敏感数据泄露	38%

这组数字里最重要的是那个排序变化：把安全与治理列为规模化最大障碍的 24%，已经超过技术复杂度的 17% 与缺乏已验证投资回报的 14%，前者约为后者的 1.71 倍。这与前两年的主流叙事不同——那时的障碍排序通常是技术与回报在前，治理在后。

已发生的事故比例也不低：49% 遇到过智能体或聊天机器人传达虚假或错误信息，38% 确认发生过数据外泄或敏感数据泄露。两者相差 11 个百分点，说明输出质量问题比数据安全问题更常见；但从后果看，后者更重。这也与前面那组材料互相印证：约 70.8% 的组织至少偶尔遇到幻觉，而这里近一半已经实际遇到过错误信息被传达出去。

Rubrik 的 AI 营销总监 Michael Ortega 给了一个便于理解的类比：不会有公司在没有入职流程和管理监督的情况下招一千名新员工，也不会一上来就给他们访问高度敏感数据的权限；但组织对待智能体的方式恰恰如此。这个类比指向的是同一件事——智能体已经有了人类员工的行动能力，却没有拿到人类员工那套身份、权限与监督基础设施。

本文推算：四条证据链的覆盖率排序

把四份材料各自最薄的那一环抽出来，可以排出一条完整的证据链，并看出哪一段最细。排序如下（按可证明的覆盖率，非自评）：

证据链环节	可证明覆盖率	来源	对应自评
AI 与智能体资产清单（完整且及时更新）	17%	Wiz，100 位高管	—
开源供应链清单（含直接与间接依赖）	32.9%	Red Hat，1,400 位 CIO	76% 能在 24 小时内修补
输出按业务规则校验（完全实施）	35.7%	Graphwise，380 余位负责人	58.6% 想要规则校验
数据流向完全可见	39.6%	Red Hat，1,400 位 CIO	84.8% 相信知道数据在哪

四条链的分布有个共同形状：可证明覆盖率都在 17% 到 39.6% 之间，没有一条过半；而与之对应的自评数字都在 58.6% 到 84.8% 之间。两组数字之间的落差区间为 19.0 到 45.2 个百分点。这个形状比任何单项结论都更能说明问题：差距不是某一环的偶发失误，而是贯穿整条链条的系统性现象。

最薄的一环是资产清单，只有 17%。它的特殊之处在于它是其余三条的前置条件：不知道自己在跑哪些智能体，就无从谈它们的数据流向、它们调用的组件、以及它们的输出该在哪里被校验。以此倒推，把清单放在首位，不是因为它的数字最难看，而是因为它是这几条里仅有的、修好之后能让其他三条变得可测量的链。

还需要提示一处口径差异：四条链的可证明覆盖率来自三份不同材料，样本量从一百到一千四百不等，且四份中有三份由厂商发起。因此这条排序反映的是结构，而不是精确排名；若某两条的差距在几个百分点之内（如供应链清单 32.9% 与输出校验 35.7%），不应据以判断孰先孰后。

六步补齐顺序

其一，先做资产清单，且以发现为准而非以申报为准。把生产环境中实际在跑的模型、智能体、工作流与管道列出来，接受「会列出来一些没人申报过的东西」这个结果；Wiz 的数据显示 52% 的组织在一年内发现过未授权 AI 应用，这个比例应当被当作预期值而不是异常值。

其二，把清单与身份绑定。给每个生产中的智能体一个独立身份、一个可问责的负责人与一项明确用途，并记录它的活动；同时建立退役流程。清单上没有身份的条目，等同于清单上的空白。

其三，把数据流向的可追溯做到可提取，而不是做到「有人知道」。判断标准很朴素：某个智能体处理过的某条数据，能否在一小时内说出它被存储与共享到了哪里。红帽的 84.8% 与 39.6% 之差，主要就差在这一条的可提取性上。

其四，把软件物料清单作为修补流程的前置门禁。在建立清单之前，24 小时修补只是一项局部能力；清单就位之后，它才是完整能力。对间接依赖要单独要求供应商提供，因为那部分不会出现在你自己的采购记录里。

其五，在输出到达用户之前插一道规则校验。约 60% 的组织想要的四项信任手段里，引用与出处、规则校验这两项是可以自动化的，先把这两项装上，人工复核的负担才会真正下降。

其六，把供应商监控从一次性改成持续。模型会漂移、政策会变、依赖会演化，判断标准是：上一次审查距今多久，以及有没有可衡量的持续监控指标。红帽的数据里，19.7% 的组织在接入之后完全不再监控。

冷静判断

四份材料合起来给出的是同一条曲线：智能体的部署速度已经远远走在前头，而可证明的治理能力停在三成到四成这一档。这条曲线与此前多份调研观察到的形状一致——采纳率很高，价值转化与治理成熟度落在后面。本篇的贡献在于把这条曲线拆成了四条可分别测量的链，并指出资产清单是前置的那一条。

对这份结论的保留也要说清楚。其一，四份材料中有三份由厂商发起，且它们的产品恰好对应各自揭示的缺口，因此每一组数字都应被当作方向性证据；其二，Wiz 与 Foundry 的样本只有一百与两百人，是高管样本而非普查，精度有限；其三，本文所有区间推算都基于容斥原理的下界与上界，刻意不用独立性假设，因此区间偏宽——这是保守的代价，换来的是结论不依赖任何分布假设；其四，Graphwise 那组锚定与幻觉的对照，因果方向无法从问卷数据中确定。

对管理者可操作的结论有三条。其一，把「我们能不能证明」替代「我们觉不觉得」，作为治理汇报的口径；自评与可证明之间的落差是可以被量出来的，量出来之后，讨论才能从态度转向投入。其二，按清单、身份、数据流向、物料清单、输出校验、供应商监控这个顺序推进，前一项是后一项可测量的前提。其三，对跨地区组织，用可证明指标而不是自评指标做区域对比——自信度在各国之间几乎不变，可追溯性才是真正区分区域成熟度的变量。至于这些缺口在未来一年会以什么速度收敛，以及四份材料背后的厂商在其中的推动与测量偏差各占多少，目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。