如果只看利用率，消防通道大概是很多建筑里最容易被误解的一块空间。它占据真实面积，需要长期保持畅通，不能堆货、不能放设备，也不能因为“暂时用不上”就改成仓储区。更奇怪的是，在绝大多数正常日子里，它几乎没有可见产出：商场开了很多年，仓库运营了很久，办公楼里的人每天进进出出，却可能一次都没有真正因为火灾使用过那条通道。

从经营视角看，这很容易形成一种诱惑。货越来越多，空间越来越紧张，旁边却偏偏留着一块宽阔而空闲的区域；如果只从坪效、空间利用率和单位面积产出来看，它甚至像一个长期存在却没有回报的成本项。于是问题自然出现：既然过去几年一次事故都没有发生，为什么不能临时放几个纸箱？为什么不能多摆一排货架？

这些问题并不荒谬，它们只是采用了错误的计量方式。消防通道从来不是为了提高日常利用率而存在的，它解决的是另一个问题：当某个低概率、但后果极高的事件真正发生时，系统是否还保留一条可以出去的路。

有些资源存在的意义，不是提高平均效率，而是为极端情况保留选择权。

当AI Agent开始从“回答问题”走向“替人行动”，这个看似与技术无关的常识，正在重新变得重要。

一、如果只按照利用率计算，消防通道确实很浪费

想象一家业务正在增长的仓库。订单越来越多，货架逐渐接近满载，空间开始成为一个现实问题，而就在这些已经被充分利用的货架旁边，还保留着一条宽阔、整洁，却常年几乎无人使用的消防通道。

从纯粹的运营视角来看，这样的空间很容易显得格格不入。一边是每平方米都需要计算产出的仓储面积，另一边却是一块被制度要求长期保持空置的区域。如果企业恰好遇到旺季，货物没有地方摆放，那么“先放几个箱子，过两天再移走”几乎是最符合直觉的决定。

问题在于，这种决定第一次通常不会带来任何后果。今天放几个纸箱，没有发生火灾；明天多放一个托盘，也没有发生火灾。连续几个月都没有出事以后，人们很容易得到一种危险的经验：过去那些所谓“绝对不能占用”的规定，好像过于保守。甚至从经营数据上看，占用消防通道以后，仓储效率可能真的提高了，而事故率仍然是零。

低概率风险最容易欺骗人的地方就在这里：违规和事故之间通常没有即时反馈。一个错误行为可以连续重复很多次都没有结果，于是人们很容易把“暂时没有出事”误认为“这种做法是安全的”。

成熟的安全制度之所以不允许消防通道被“临时利用”，并不是因为它反对效率，而是因为它采用了另一种成本模型。它关心的不是这条通道平均每天被使用多少次，而是当所有正常路径都失效之后，它是否仍然存在。

消防通道因此不是一块“没有被利用的面积”，而是一块被刻意禁止充分利用的容量。它必须保持空闲，因为空闲本身就是它的功能。

二、安全机制最大的尴尬，是成功时往往什么都没有发生

业务系统很容易证明自己的价值。订单增加了多少，转化率提高了多少，单位成本降低了多少，这些结果都可以进入报表。安全系统却恰恰相反，一个安全机制工作得足够好时，人们最终看到的往往只是“一切正常”：没有火灾，没有异常转账，没有大规模数据删除，也没有生产事故。

这就形成了一种天然的管理悖论：越成功的安全机制，越容易让人怀疑它是否有必要存在。企业会问，这套系统过去一年到底拦住过多少次异常？备用节点真正切换过几次？执行时的二次检查究竟拒绝过多少请求？

这些问题当然合理，但如果最后只剩一个“次数”，就很容易得出错误结论。假设一个系统一年处理一百万次操作，其中999,999次完全正常，只有一次严重异常。如果只看拦截比例，这套机制几乎没有存在感；但如果那唯一一次异常意味着一笔不可逆的大额转账、一次关键设备误动作，或者一次无法恢复的数据删除，那么那一次拒绝的价值，可能已经超过整个系统多年的成本。

普通经营决策天然喜欢平均值，因为平均值最容易比较，也最容易进入KPI；安全系统面对的却往往是尾部风险——那些出现概率很低，却足以决定整个系统命运的事件。

因此，评价安全机制时，不能只问“它多久触发一次”，还必须问另一个问题：如果它没有触发，会发生什么？

安全机制不能只按照触发概率来定价，还必须按照失效后果来衡量。

三、现代企业太擅长优化常态，却越来越不愿意为异常保留空间

现代企业管理过去几十年做得最成功的一件事，就是不断消灭闲置。库存太多，要降低库存；服务器利用率太低，要提高资源利用率；组织里存在重复岗位，就要压缩层级；审批时间过长，就要减少节点。无论是人效、坪效、资本效率还是库存周转率，本质上都在向企业传递同一个信号：长期没有被充分使用的资源，都值得被重新审视。

这套思想创造了巨大的商业效率，但它也有一个容易被忽略的副作用：当一个系统把所有冗余都理解成浪费时，它很可能同时把自己的缓冲区一起消灭。

供应链没有安全库存，系统没有备用节点，机器长期接近极限负载运行，组织里没有替补角色，自动化流程也几乎不保留人工接管窗口。正常情况下，这样的系统往往非常漂亮，因为每一份资源都得到了充分利用，每一步都被压缩，每一处等待都被削减；可一旦异常发生，问题就会突然显现，因为所谓“冗余”，很多时候其实是系统用于吸收冲击的空间。

消防通道代表的正是另一种设计哲学：某些容量必须故意保持为空。铁路调度需要安全间隔，电网需要备用容量，服务器集群需要headroom，金融机构需要资本和流动性缓冲，建筑必须保留逃生通道。这些资源在正常状态下都表现为“没有被充分利用”，但恰恰因为没有被充分利用，它们才有能力在异常发生时承担额外压力。

有些闲置不是低效，而是系统为未知留下的余量。

这也意味着，我们不能把所有“摩擦”都简单理解为落后的流程。有些摩擦确实应该被自动化消除，但还有另一类摩擦承担的是完全不同的职责：它们不是为了拖慢业务，而是在某个动作真正不可逆之前，为系统保留最后一次重新判断现实的机会。

四、Agent时代最诱人的目标，恰恰叫“零摩擦”

Agent正在把这种矛盾推到一个新的阶段。过去的软件主要帮助人完成操作，用户自己点击按钮、填写参数、确认对象，真正改变现实的最后一步，往往仍然经过人的界面；而Agent希望用户只表达目标，剩下的理解、工具调用、参数组织和执行，都由系统自己完成。

这种体验最有吸引力的地方，就是减少摩擦。少一次确认，少一次跳转，少一次审批，少一次人工介入，从一句话直接抵达结果。对于整理文档、查资料这类低风险任务，这种方向没有太大问题，但当Agent开始操作资金、权限、生产设备、关键数据或者外部基础设施时，“零摩擦”就不再只是一个用户体验问题。

因为过去那些看起来烦琐的步骤里，有一部分实际上承担着安全边界的作用。

这里需要区分两个问题。第一个问题是：这个Agent是否有资格做这类事情？这属于访问权限。第二个问题则是：在当前这个时间、面对这个对象、使用这些参数、处于这个现实状态时，这一次具体动作现在还能不能发生？

这两个问题并不等价。

一个Agent完全可能拥有合法权限，却在错误的时间、错误的对象或者错误的现实状态下发起一个不应该发生的动作。因此，高风险自动化系统开始越来越重视runtime authority：系统不能只在Agent获得权限时判断一次，还应该在动作即将真正改变现实的那个时刻，再判断一次。

这层边界当然会增加一点成本，可能多一次状态检查、多一次策略判断，甚至增加一点延迟，而且绝大多数时候它最后都会得出ALLOW。于是从表面看，它很容易显得多余。

但它真正需要保证的，并不是天天制造拒绝，而是：

当那一次真正异常的动作抵达执行边缘时，系统仍然拥有说“不”的能力。

五、不要用“拦截率”衡量最后一道边界

未来企业部署Agent安全系统以后，很可能会遇到一个看似合理的问题：这套边界一年到底拒绝了多少次执行？

假设某家公司一年由Agent发起一百万次动作，其中999,998次被正常允许，只有2次被拒绝。从传统产品指标来看，拒绝率只有0.0002%。这个数字很容易让人产生一种感觉：既然绝大多数操作最终都能通过，那么是不是可以把这一层取消，让系统更快、更简单？

如果把同样的逻辑放到消防通道上，问题就很容易看出来。一栋建筑十年没有发生火灾，那么消防通道的真实逃生利用率可能远低于0.0002%，但没有人会因此认为它应该被改成办公室，因为我们真正关心的从来不是它过去用了多少次，而是那一次真正需要它时，它是否还存在。

执行边界也是一样。那两次拒绝如果其中一次阻止了一笔错误账户的大额转账，另一次阻止了异常状态下的设备启动，那么它们就根本不能和另外999,998次正常请求放在同一个平均值里计算。

更重要的是，一个可靠边界的价值，不只来自过去已经拒绝过什么，还来自它持续存在的能力。只要这层边界没有被删除、绕过或者软化，无论前面的系统多么自动化，它都始终保留最终否决的可能。

边界的价值，不等于它制造了多少次拒绝，而在于它始终保留拒绝的能力。

这种能力很难进入传统KPI，因为“发生了什么”容易记录，“没有发生什么”却很难量化，而“本来可能发生，但因为边界存在最终没有发生”就更难被看见。可整个安全工程里，最重要的价值往往恰恰藏在这些没有发生的事情中。

六、真正成熟的系统，会主动保留一些“不能被优化”的东西

人类工程史一直在重复类似的过程：系统首先追求效率，随后事故暴露出缺少缓冲的问题，于是人们增加边界、冗余和保护机制；等到事故长期没有再次发生，这些机制又逐渐显得笨重、昂贵、低效，直到下一次极端事件重新提醒我们，有些东西之所以长期没有存在感，并不是因为它们没有价值，而是因为它们正在等待一个最好永远不要出现的时刻。

消防通道如此，备用电源如此，紧急制动如此，未来Agent的执行边界大概率也是如此。

AI会继续变得更聪明，Agent会拥有更强的自主能力，企业也一定会追求更少人工、更短链路和更高自动化程度。真正成熟的自动化基础设施并不需要反对这些趋势，但它必须懂得区分两类摩擦：一类来自历史遗留、低效组织和重复劳动，应该尽可能被消除；另一类则是系统为了应对异常而主动保留下来的缓冲，它存在的目的就是在平均状态失效以后，仍然给系统留下调整、拒绝和退出的可能。

效率负责优化常态，安全负责为异常保留出路。

所以，有些东西永远不应该按照日常利用率来评价。消防通道最重要的时候，恰恰是所有正常通道都已经失效的时候；执行边界也是如此。绝大多数时间，它最好安静到几乎让人意识不到它的存在，也不需要通过频繁拒绝来证明自己的价值。

但真正危险的那一刻，当权限已经授予、自动化已经启动、Agent已经准备把一个决定真正变成现实的时候，这层边界必须仍然存在，而且仍然拥有否决权。

就像那条平时几乎没人走的消防通道一样。

你最好永远都用不上它，但一个成熟的系统，永远不会因此把它堵死。

本内容由作者授权发布，观点仅代表作者本人，不代表虎嗅立场。如对本稿件有异议或投诉，请联系 tougao@huxiu.com。