9 月 29 日，Oracle 发布了一个不太起眼、但可能改写企业软件架构的东西——Fusion Claw。它是第一个把"原生 AI Agent 编排"直接嵌进 ERP 平台层的厂商运行时。这不是在界面上加个 AI 按钮，而是意味着：应用层不再只是消费基础设施，它正在把 Agent 的基础设施一口吞下。对正在评估 ERP 智能化的 CIO 来说，这件事比又多出几个"智能体功能"重要得多。
一、Claw 的机理：让模型"想"，让确定性"干"
过去两年，企业 Agent 的最大隐患是：大模型直接去改业务对象。Claw 的解法很干脆——推理与执行分离。它在一个隔离环境里运行，大模型不直接更新 Fusion 的任何业务记录，真正的交易执行交给"确定性计算"去做。换句话说，AI 可以推理、可以建议，但落账的那一下，是受控代码干的，不是模型干的。
支撑这套机制的有两件套。第一件叫 Enterprise Operating Envelope（企业操作包络），它是控制平面，定义了目标、SOP、政策、约束、权限、风险阈值、决策权、审批要求和升级边界——Agent 的每一个动作都必须在这个框里。第二件叫 Outcome Receipts（结果回执），它给每一笔交易留下可审计的记录：权威来源是什么、用了哪些证据、做了什么决策、最终结果如何。两者合起来，形成一个闭环：AI 的推理被企业级的确定性逻辑死死约束。
把"想"和"干"分开，是 Agent 能进 ERP 内核的前提。模型负责聪明，确定性计算负责可靠，回执负责可追溯。
二、一周三连发：Agent 基础设施正被拉进应用层
Claw 不是孤例，而是一条正在成形的弧线。短短一周多里，行业连下三子：Oracle 的 Fusion Claw（9/29）、Cloudflare 的多智能体安全 harness（10/7）、Google Cloud 的 Agent Gateway（10/8，原生理解 MCP/A2A 协议）。这三家做的事看似不同，指向同一个方向——状态管理、运行时安全、网关平台这三块 Agent 基础设施，正从独立中间件被收编进应用层。
为什么这对独立中间件是坏消息？当前的 Agent 生态是碎片化的：状态管理分散在 14 家以上厂商、零标准；运行时安全有 5 种互不相容的方案；协议栈还在 MCP、A2A、PAP 之间分裂。如果平台层自己就提供了"受治理、可审计、原生"的编排，企业就没有动力再维护一层 fragmented 的中间件了。我们正走向一个模型：应用平台直接提供安全、状态和执行环境。
Fusion Claw GA 内置应用数，及规划扩展目标（并随现有 Fusion Agentic Apps 许可免费提供）
对比一下更清楚。Salesforce 的 Agentforce 有 1.85 万客户、月跑 30 亿工作流，规模惊人，但它的数据是经 Data Cloud 复制过去的，并不在源系统做实时写回；Oracle 的路线则是 ERP 内部的实时交易完整性。Claw 提供两种模式：Deep Research（人在环，用于分析）与 Full Auto（对授权活动自主执行）。而且它随现有许可免费送——这等于在用装机基数直接绕过第三方编排层。
三、回到开源：Odoo 20 把"连接"交给你
把镜头切到开源阵营，会发现一条平行但相反的路线。Odoo 20 原生支持 MCP（Model Context Protocol），外部 AI 助手可以在用户现有权限范围内读写 Odoo 数据；同时所有 AI 能力都走 IAP 信用计费。Odoo 没有替你建一个"操作包络"，而是把"Agent 能碰我什么数据"这个决策，明确地交还给了企业自己——你开什么权限，它就能做什么。
这正是治理思路在开源 ERP 里的落地形态：一条 MCP 连接，不是功能升级，而是一个需要按安全事件对待的接口。再往外看，Zone 的 AgentHQ（NetSuite 原生智能体管理总部，管控 10+ 可写操作的权限/审批/审计/回滚）是第三方"受治理附加层"的先例。Oracle 把治理做进内核、Odoo 把连接交给你、Zone 在中间补一层——路线不同，结论一致：治理不是 Agent 规模化的刹车，是油门。
容易被忽略的一点：平台免费送的 Agent 运行时，省的是编排钱，不省治理责。Claw 的 Operating Envelope 再完整，边界也是你来定义的；Odoo 的 MCP 再开放，权限也是你来配的。工具把笼子造好了，但"关哪几道门"仍是你的事。
四、给 CIO 的三问
面对"平台内置 Agent 运行时"这个新物种，我建议任何准备让 Agent 写 ERP 数据的企业，先回答这三个问题：
第一问：执行包络由谁定义？你的 ERP 的 Agent，是运行在一个明确的操作包络里（目标、权限、风险阈值、升级边界都写死），还是只有一个笼统的"自动执行"开关？没有包络的自主，等于把方向盘交给一个不知疲倦的司机。
第二问：结果回执能否审计？每一笔 Agent 发起的交易，能不能追溯到"权威来源、所用证据、决策、结果"？审计师迟早会问，而现在答不上来，上线后就是合规窟窿。
第三问：模型与业务对象是否隔离？Oracle 的做法是"模型不直接写对象，确定性计算代执行"。你的平台或连接方案，有没有这道隔离？没有的话，一次幻觉就可能直接落账。
红线：不要因为"免费内置"就跳过治理设计。Claw 随许可免费，是为了让装机基数绕过第三方编排层——这是 Oracle 的商业逻辑，不是你的安全承诺。边界没划清之前，再便宜的自主执行都是负债。
写到最后想说一句：能力可以买，边界必须自守。Oracle 把 Agent 运行时吞进 ERP 内核，Google、Cloudflare 把协议与安全带进应用层，Odoo 把连接交还给你——信号已经非常清楚，2026 年的 ERP 智能化，竞争焦点从"谁的 Agent 更聪明"转向"谁的 Agent 更可被治理"。先把三问答完，再让 Agent 上路，它才会是你的同事，而不是埋在季度关账前的雷。
本文基于公开信息整理分析：Oracle Fusion Claw 官方发布与第三方行业分析（2026-09-29 起）、Google Cloud Agent Gateway 与 Cloudflare 多智能体安全 harness 报道（2026-10-07/08）、Odoo 20 发布材料与 MCP/IAP 说明、Zone AgentHQ 公开资料。数据截至 2026-10-22。
众谛信息 · 专注 Odoo 与企业管理数字化解决方案
