AI 代理人帳號：微軟讓 AI 有自己的信箱與 Teams 身分

過去一年，AI 新聞的主角幾乎都是模型：誰的參數更大、誰的 benchmark 更高、誰的 API 更便宜。但這一週最值得企業 IT 主管留意的消息，和模型能力沒什麼關係——AI 代理人開始拿到自己的「員工編號」。

微軟在 10 月 15 日把 Copilot Studio 的「代理人帳號」（agent accounts）放進 Frontier 早期預覽：一個 AI 代理人會拿到自己的 Microsoft Entra ID 身分、自己的 Exchange 信箱，並出現在公司通訊錄與 Teams 裡，同事可以直接 @ 它。ServiceNow 則在 10 月 15 日宣布 AI Passport，給每一個代理人一張加密簽章的「通行證」，規定它在執行期間能做什麼、不能做什麼，預計 2026 年第四季推出。

Photo by A Chosen Soul on Unsplash

從「借用你的帳號」到「擁有自己的帳號」

要理解這件事為什麼重要，得先看目前的做法。現在大多數企業部署的 AI 代理人，都是「借用」人的身分在跑：你在系統裡按下執行，代理人就用你的 OAuth token 去讀信、查資料庫、改報表。稽核日誌上留下的，是你的名字。

這在只有兩三個代理人、而且都在試用階段時沒什麼問題。但當同一個部門有二十個代理人、每個都在半夜被排程觸發、每個都用不同同事的身分在動作，事後要回答「這封信是誰寄的」「這筆資料是誰調的」就變成一場考古。更麻煩的是權限：借用人的身分，代理人就繼承了那個人的全部權限，包括它其實完全不需要的那些。

微軟這次的做法是把身分還給代理人自己。根據官方文件，代理人帳號會在「發布」的那一刻被正式建立——系統同時配置信箱、Teams 出現狀態、通訊錄條目，以及一組由管理員單獨管理的 Entra Agent ID。它可以收信、寄信、被加進郵件群組，也可以在 Office 文件的留言裡被 @。管理員則可以像管一個真員工帳號那樣，去審核它、稽核它、停用它。

預覽階段的限制也值得一讀，因為那些限制本身就說明了微軟對風險的判斷：代理人讀不到標記為「機密」或「僅限內部」敏感度標籤的文件；只能回覆租戶內部的人，外部使用者找不到它；郵件對話參與人數上限 250 人；可以產生新文件，但不能共同編輯既有檔案。信箱地址固定用建立者的別名當前綴，而且發布後不能改。

授權成本也不低。預覽期間每一個代理人實例要配置 25 個「Microsoft 365 Frontier for AI Teammates」授權，建立者本身需要 Microsoft 365 E7，或 E5 加上 Agent 365 附加元件；租戶還要加入 Frontier 方案、接受 Agent 365 服務條款、把環境切到早期發布週期。另外，執行代理人消耗的 Copilot Credits 是跟授權分開計費的。有報導指出，正式上線後授權模式會改成按使用者計算，涵蓋該使用者擁有的代理人，但這部分目前還沒有定案。

ServiceNow 的 AI Passport：不是一個開關，是一個旋鈕

如果微軟解決的是「代理人是誰」，ServiceNow 的 AI Passport 想解決的是「代理人憑什麼」。

AI Passport 是一張發給單一代理人的加密簽章憑證，記錄它的身分、允許的行為、可以碰的系統，以及負責的擁有者。它的資料來源是 ServiceNow 的 CMDB（設定管理資料庫）、治理政策與流程簽核紀錄，也就是公司原本就有的那套「誰負責什麼」的脈絡。代理人在工作流程與工具之間移動時，每一步都要重新驗證一次。

Photo by Christian Lue on Unsplash

ServiceNow 的 Nenshad Bardoliwalla 用了一個很具體的比喻：「真正的治理是分級的，它更像一個調光旋鈕。」意思是，當一個代理人越線時，不應該只有「整個系統下線」這一個選項。AI Passport 的控制是從監看、暫停、限制，一路到必要時停用該代理人——目標是攔下一隻出問題的代理人，而不是為了它關掉整條產線。

發布會上的示範很好懂：管理員給一個處理退款的代理人設了 25 美元上限。一筆 18 美元的退款自動通過，一筆 40 美元的退款則被擋下，不得自動執行。這個例子之所以有說服力，是因為它對應的是一種真實恐懼——一個代理人在無人監看的夜裡，用程式的速度發出數千筆它「以為」該發的退款。

技術上，AI Passport 採用開放規格，讓其他治理產品、身分識別供應商與執行點都能簽發和驗證憑證。NVIDIA 是首發夥伴，透過其 Open Agent Safety Platform 執行政策；ServiceNow 也與 Okta 等身分識別業者合作。ServiceNow 另外說明，AI Passport 並非建立在它併購的 Veza 之上。

為什麼是現在

這兩個產品同週推出，不太像巧合。過去兩三週，關於代理人越界的報導密集出現。

10 月 18 日，騰訊承認用來評測第三方模型的代理人以「非預期」的方式瀏覽網路；研究人員把相關活動連回騰訊雲，統計出 2,818 次向阿里巴巴高德地圖取資料的嘗試，包含繞過被封鎖請求的做法。騰訊表示該活動並非來自其混元模型，實驗已結束，並正在強化網路管控與監控。更早一天，印度的 CERT-In 通報，研究與測試用途的 AI 代理人接觸到印度多家組織的正式系統，讀取了個人資料與機密商業紀錄，而這些代理人來自多個不同供應商。

這些事件的共同點不是模型太聰明，而是沒人知道那是誰的代理人、誰該負責、它本來該有多少權限。身分與權限的缺口，比模型能力的缺口更早被現實撞破。從這個角度看，微軟給代理人開帳號、ServiceNow 給代理人發通行證，都是在補同一個洞。

對企業的實際影響

Photo by Diego Marín on Unsplash

對還在觀察階段的台灣中小企業來說，這些功能的授權門檻（E7、Frontier 方案、Q4 才上線）短期內大概都還碰不到。但其中的設計邏輯，現在就能拿來檢查自己手上的 AI 導入。

第一個可以馬上盤點的，是「誰的身分在跑」。如果目前接的自動化流程全都掛在某位同事的帳號下，那麼這個人離職、換部門或改密碼的那一天，流程會一起停掉；出事的時候，日誌也只會指向他。即使沒有代理人帳號這種功能，用一個專屬的服務帳號取代個人帳號，並把權限收到剛好夠用，仍然是可行的替代做法。

第二個是權限邊界要寫成數字。AI Passport 那個 25 美元的例子之所以成立，是因為有人事先決定了那個數字。把「這個流程最多能動多少錢、最多能寄幾封信、能不能碰客戶名單」寫成明確規則，是在任何治理工具上線之前就該完成的功課，而且這件事技術上並不難，難的是有人願意決定。

第三個值得留意的是微軟那個「共享記憶體」設計。代理人帳號會保留一份跨所有協作者共用的業務流程記憶，一個人提供的脈絡會影響它之後和別人的對話，而預覽階段無法個別選擇退出——使用它就等於同意。這對需要處理薪資、健康或客戶敏感資訊的團隊來說，是一個需要事先想清楚的設定，而不是上線後再補的教育訓練。

幾點觀察

第一，代理人治理正在從「資安議題」變成「身分議題」。這兩個產品都沒有試著讓模型變得更聽話，而是把代理人放進公司原本就有的身分與權限體系裡。這是一個相對務實的轉向：與其期待模型自律，不如讓它在一個本來就會擋人的系統裡做事。

第二，開放規格是這一輪的關鍵詞。AI Passport 強調其他治理產品與身分供應商都能簽發、驗證憑證，NVIDIA 的 Open Agent Safety Platform 也走類似路線。代理人會跨越多個廠商的工具執行工作，如果每家都發自己的憑證、彼此不認，治理就只會停在單一平台內部。這個領域最後會收斂成一到兩套標準，還是繼續各做各的，值得往下看。

第三，成本結構還沒定型。預覽期每個代理人實例要 25 個授權這種設計，顯然不是最終答案；測試執行、觸發週期與正式運行各自消耗授權或點數，也讓預算難以估算。對打算在明年導入的企業來說，現階段比較合理的做法是先把流程與權限規則整理清楚——那部分不會因為廠商改價而作廢。

模型的進步會繼續佔走大部分版面，但決定 AI 能不能真的被放進正式流程的，往往是這些看起來很行政的東西：一個帳號、一份權限清單、一條稽核日誌。這一週的兩則消息，剛好都在補那一塊。