一家做跨境零售的客戶上週跟我聊起一件事：他們給客服系統接了 agent，讓它自動處理退款。上線第一週風平浪靜，第二週卻發現——有筆異常退款在沒人察覺的情況下，連續觸發了三十多次，等財務月底對帳才暴露。錢沒丟多少，但「系統自己跑了、人不知道」這件事，把他們的 CIO 嚇出一身冷汗。
這不是孤例。把最近一週企業級 AI 代理的動態擺在一起看，會發現一個清晰的訊號：行業已經從「怎麼讓 agent 動起來」，轉向「怎麼讓 agent 動得可控」。控制層，正在從 PPT 上的原則，變成平台裡原生的煞車系統。
第一道煞車：評估先行，讓"跑沒跑錯"可被觀測
過去我們判斷一個自動化靠不靠譜，靠的是上線前測試加人工抽查。但 agent 不一樣——它會根據上下文自己決定下一步，同樣的輸入今晚和明早可能走出不同路徑。傳統「測一次就上線」的套路，在 agent 身上基本失效。
Salesforce 最近為 Agent Fabric 新增的 Agent Evals，做的就是這件事：對 agent 本身進行持續測試與評估，同時對它依賴的 API 做變更偵測。換句話說，agent 不是在真空中運作，它呼叫的每一個介面一旦悄悄改了回傳結構、改了欄位意義，評估層就能在「出錯之前」示警。
這件事的啟發在於：企業把 agent 接進 ERP 之前，先要問清——我的平台能不能在運行時持續驗證 agent 的行為？如果答案是「只能上線後靠人肉看日誌」，那這個 agent 艦隊規模越大，雷就埋得越深。評估不是上線後的補丁，而是 agent 的出廠設定。
第二道煞車：身分前置，給 agent 發「身分證」
當系統裡跑的不再只是人，還有大量"非人類身份"，一個更隱蔽的問題浮出來：你怎麼知道正在改這條記錄的，是張三是李四，還是一個偽裝成自動化的惡意 agent？
Socure 最近推出的 Agent Intelligence，把這件事產品化了。它的 Agent Detection 已經正式可用，Agent TrustScore 在內測，可驗證的 Agent Credential 計劃明年第一季推出。核心邏輯是 KYA（Know Your Agent）——識別 agent 流量，按身份、授權、風險打分，並發放把 agent 綁回某個自然人或企業主體的憑證。與此同時，Resemble 發布的行為檢測模型，針對"偽裝成普通自動化"的 agent，內部基準檢測率達到約 98.8%，遠高於傳統機器人工具不到 15% 的水平。
對 ERP 場景，這意味著"給 agent 開帳號"會像"給員工開帳號"一樣，需要一套身份治理。在放開 agent 寫單、付款、改庫存之前，先建立 agent 身份目錄與信任評分，是比"上多少個 agent"更前置的功課。一個沒有身份、沒有信任分的 agent，再聰明也不該碰核心單據。
第三道剎車：熔斷與封頂，把失控關進籠子
最讓 CFO 夜不能寐的，是"費用失控"。按量計費的 agent 一旦邏輯出錯或被人刷介面，帳單可以幾小時內炸穿月預算。Salesforce 這次同步給出的 kill-switch（一鍵熔斷）與硬支出上限，正是衝著這個痛點去的——異常時營運方一鍵切斷，單個 agent 的消耗被鎖死在預算內。
這給所有準備上量 agent 的企業提了個醒：你的 agent 平台，是否提供執行時評估、熔斷與支出封頂這三件套？缺任何一樣，「上規模」就等於「上風險」。尤其在 ERP 這種直接碰資金、庫存、憑證的系統裡，高利害動作（改帳、付款、發單）永遠不該設成「全自動」，至少要留一道人工閘門和一條硬性預算線。
三道剎車，一條主線
把這三件事連起來，主線很清楚：agent 能"動"之前，必須先能"被識別、被評估、被切斷、被追責"。這是 agent 從實驗走向規模生產的分水嶺，也是監管和法務遲早會追問的底線。
對正在選型或準備上量的 CIO，我給一份很實在的控制層清單：
第一，身分先建，權限後給。每個能碰系統的 agent，都要有身分目錄、信任評分和明確的責任主體（綁回哪個自然人或部門）。匿名 agent 不進生產環境。
第二，評估常開，變更必報。agent 與其呼叫的 API 都要有執行時評估；介面一改結構，先預警再放行，別等出錯。
第三，熔斷與封頂是出廠配置，不是選配。高利害動作一律留人工閘門，單 agent 消耗有硬上限，異常能一鍵切斷。
第四，底座主權握在自己手裡。無論選閉源大廠還是開源路線，確保身分日誌可自留、成本可核驗、規則可自寫。以 Odoo 20 這類開源底座為例，MCP 原生、資料 100% 自有，治理邏輯由你自己定義，不會被國際平台的合規框架與按量計費黑箱雙重綁架。
說到底，agentic ERP 的競爭，上半場比誰先把代理接進去，下半場比誰先裝好剎車。裝好了，agent 才是槓桿；沒裝，它只是把失控自動化了。
