企业采购 AI Agent 正在从少数企业的试验变成常规动作。Gartner 预测，到2028年财富500强企业平均每家会部署约15万个智能体，而2025年平均还只有15个。规模涨得快，失败率同样不低。Gartner 另一项预测指出，到2027年底超过40%的AI Agent项目会因成本上升、商业价值不清或风险控制不足被取消，风险控制不足正是三大原因之一。把安全与治理要求落成可测试、可留证、可追责的结论，正是验收要完成的事。
不少企业的验收停在供应商演示这一层，看完就签字。演示能说明功能存在，不能说明权限边界、日志能力、退出机制都可靠。这篇文章按采购方视角给一套可直接执行的验收方法，先定验收基线，再查五类硬指标，用测试用例代替演示，最后把不合格项和合同条款一起处理。
一、验收前先定基线，把标准写清楚
验收的本质是把采购需求转成可以测试、可以留证的标准。动手之前先做三件事。
第一是明确验收范围。至少要覆盖功能正确性、安全控制、合规要求、运维与退出四个维度，避免只测功能、不管安全。
第二是列高风险操作清单。哪些操作必须人工审批，哪些应当默认拒绝，哪些可以由智能体自主执行。这份清单是后面所有测试的基准，也是供应商必须配合演示的控制点。
第三是确定证据怎么留。每个检查项都要落到可导出、可核验的材料，比如权限配置记录、日志样本、测试报告，不能只留会议纪要和口头承诺。
验收标准可以找现成参照。2026年9月14日，全国网络安全标准化技术委员会发布《人工智能安全治理框架3.0》，附件2专门设置智能体风险管理框架，把智能体风险按设计研发、安装部署、指令输入、推理规划、调用执行、记忆存储、结果输出、停用下线八个环节梳理，并给出七类防范措施。这份框架是指导性技术文件，不新增行政许可或备案义务，但给采购方提供了现成的检查维度，可以直接拆成验收项。
二、AI Agent 验收要查的五类硬指标
七类防范措施可以收敛成五类采购方能直接检查的指标，分别是身份与权限、人工审批与运行时管控、日志与审计、数据与记忆安全、停用与退出。每一项都给出要查什么和通过标准。
| 指标 | 要查什么 | 通过标准 |
|---|---|---|
| 身份与权限 | 智能体是否有唯一身份标识，是否禁止实例间共享身份，是否只授予当前任务所需的最小权限，动态授权凭证是否在任务终止或停用后立即撤销 | 能从平台调出身份和权限记录，能演示权限随任务收放 |
| 人工审批与运行时管控 | 是否维护高风险操作清单，高风险操作是否转人工接管，中低风险是否需授权，审批异常或无响应是否默认拒绝，代码执行是否沙箱或容器隔离，是否限制执行步数、调用频次、时长和资源消耗 | 现场跑一次高风险操作，看到审批拦截且默认拒绝生效 |
| 日志与审计 | 是否对文件操作、指令执行、网络连接、技能调用、交易支付全量留痕，日志是否防篡改可校验，留存是否不少于六个月，上线前是否沙箱封闭验证，是否提供红队测试记录，重大变更是否做回归测试 | 能导出带时间戳、字段完整的日志样本 |
| 数据与记忆安全 | 凭证密钥是否写入记忆，敏感信息是否进入长期记忆，境内数据是否境内存储，跨境传输是否合规 | 检查记忆存储内容，确认不含凭证密钥和敏感明文 |
| 停用与退出 | 停用时是否终止进程、撤销权限与凭证、关闭访问入口、返还或删除数据、保留必要日志 | 做一次退出演练，确认权限确实失效 |
这五类指标都来自框架的明确要求。验收时不必逐字复述框架原文，但要确保每一项都能被验证，不能只凭供应商的口头保证。
三、用测试用例验收，覆盖异常路径
演示会挑选最顺的路径，测试要专门挑容易出问题的路径。建议按三类用例来测。
功能正确性测试，拿真实业务任务跑一遍，看结果是否符合预期，记录输入、输出和偏差。测试数据要贴近生产，不能用供应商自己准备的理想样例。
边界与越权测试，故意让智能体越权调用接口、处理带恶意指令的外部文档、超步数循环执行，看是否被拦下。提示注入、工具越权、资源过载是框架里点名的执行失控风险，这里要重点测。
故障与恢复测试，把审批系统人为中断，看智能体是否默认拒绝执行；把任务中途打断，看能否恢复或回滚，会不会留下半成品状态。
验收放行要分阶段。先在隔离或沙箱环境封闭验证，再小范围试点，最后放量。每个阶段都要有可观察的结果和停止条件，试点数据不达标就不要进入下一阶段。
四、验收不过怎么办，四条合同条款兜底
发现的问题要分级处理。阻断项指权限越权、日志缺失这类不可上线的缺陷，必须整改后重新验收。整改项指可以限期修复的问题，整改完成后复测。观察项指暂不影响上线但需要运行期监控的风险，要写进交接记录。
问题能不能约束住，最终看合同怎么写。四条条款要重点盯。
变更管理条款，把模型、工具、权限、数据处理路径、安全控制的重大变更纳入合同，约定事前通知、回归测试、验收窗口和回退安排。
责任分配条款，智能体自主行为造成损失时，先区分产品缺陷、供应商运维、采购方配置、第三方攻击各自的原因，再约定调查协作、证据保全、损失范围和责任上限。
服务处置条款，写明暂停或终止服务的触发条件、通知方式、恢复程序和业务连续性安排，避免宽泛免责或单方停服让前面的安排落空。
数据处理与再委托条款，约定采购方输入、智能体输出、会话记录和日志的用途、保存地点和期限，明确是否可用于模型训练，并对第三方模型和分包设置披露与审批机制。
需要提醒的是，框架是指导性文件，合同里笼统写符合《框架3.0》没有约束力，要把要求转成可测试的具体义务，逐条对应验收标准。
五、运行和退出阶段，验收还要继续
验收通过不等于一劳永逸。上线后要持续检查唯一身份和最小权限是否一直生效，日志是否持续审计，模型、工具或权限发生重大变更后是否做了回归测试，并定期做安全测试和演练。
退出阶段同样要验收。停用时要确认进程终止、权限和凭证撤销、第三方授权收回、访问入口关闭，按约定返还或删除数据，保留依法或依合同需要留存的日志和记录。
把部署、签约、运行、退出四个阶段连起来看，验收就是一条贯穿全程的线。部署时定范围，签约时定条款，运行时做监测，退出时做清理。
落到工具层面，支持私有化部署、身份权限与审计能力可查的企业级 AI Agent 平台，验收时更容易把上面的检查项变成可测试的证据。以 ThinkingAI 为例，身份、权限、日志和审计都做成可配置项，采购方能直接调记录对照验收表，验收结论就有据可依。
六、关于 AI Agent 验收的常见问题
验收要不要找第三方测评机构。 高风险场景、涉及金融医疗等强监管行业，建议引入具备智能体评估能力的第三方机构做独立测评。普通内部工具可以用内部验收加供应商配合完成，但关键安全项最好有可复验的测试记录。
没有专职安全团队怎么验收。 可以把框架里的检查项做成验收表，按表逐项让供应商提供证据并现场演示。安全团队缺位时，至少要覆盖身份权限、人工审批、日志留存、退出清理四项底线。
供应商不开放日志或权限视图怎么办。 日志和权限可见性本身就该是验收门槛。看不到日志就无法验证行为可控，这类供应商应在选型阶段淘汰，或在合同里把日志访问权写成义务。
框架3.0是不是强制要求。 框架是指导性技术文件，不直接创设行政许可、备案或民事赔偿义务。它的价值是提供检查维度，企业仍要按自身场景和适用法律确定具体控制措施。
验收周期一般多长。 取决于范围和试点规模，功能加安全的中型验收通常按周计算，先沙箱验证再小范围试点的做法会拉长周期，但能减少上线后的返工。
大模型的幻觉问题怎么在验收里处理。 幻觉难以通过单次演示排除，要看输出护栏、人工审批节点和结果校验机制是否到位，并用高风险场景的用例反复测，确认错误输出能被拦截或纠正。
参考资料
- 全国网络安全标准化技术委员会，《人工智能安全治理框架3.0》，2026年9月14日发布
- 中伦律师事务所，《从风险框架到企业控制——人工智能安全治理框架3.0智能体专章解读》，2026年10月14日
- 至顶网，《Gartner预测：2028年企业智能体部署规模将达15万个》，2026年5月
