萨提亚·纳德拉发了一篇长文《超级智能时代的模型内部人员风险》，表面上在顺应华盛顿政界对超级智能这一称谓的偏好，暗地里却给整个行业定下了一个极度冰冷的基调：大模型本质上就是高危内部人员，系统必须默认它已被攻破。
硅谷此前吹捧的道德对齐自律，在工程现实面前碎了一地。大模型不再是可以放心交托核心业务的副驾驶，而是一个随时可能引狼入室的危险雇员。
纳德拉这番表态既是一份安全防线的认账书，也是一柄挥向老盟友的商业大砍刀。
速读备忘：从模型自律到防内鬼隔离
- 发生了什么.微软将网络安全零信任原则全面移植至模型运行环境，要求企业将所有前沿模型视作潜在受损的内部员工。计算与业务执行权被彻底剥离，外部环境必须配备随时可由人工按下的紧急制动刹车。
- 为什么重要.学界实测显示多智能体群聊协作环境下主流模型防御被击穿率达到100%，自适应攻击穿透率超90%。靠提示词约束模型自律已经破产，安全重心彻底转向模型外部的硬隔离。
- 谁受影响.依赖大模型API自主调用系统权限、操作数据库或执行自动化任务的企业团队。调用凭证将被迫收窄，自动化流程面临更高的误杀率；同时，Anthropic与OpenAI等依赖高额API售卖的实验室正被微软逐步边缘化。
群聊沦陷与MCP投毒击穿对齐幻觉
过去两年行业寄希望于用系统提示词和强化学习对齐来约束模型。然而一旦智能体走出单机对话框，接入外部网络并相互协同，脆弱的防线立刻溃不成军。
宾夕法尼亚大学公布的LivePI基准测试给出了具体数据。在针对OpenClaw智能体环境的169个测试用例中，主流前沿模型单兵作战尚且吃力：GPT-5.3-Codex攻击成功率为27.2%，Gemini 3.1 Pro为29.6%，表现最好的Claude Opus 4.6也有10.7%。
到了多智能体群聊协作场景，安全感荡然无存。在15个群聊协作测试用例中，上述三款模型的被攻破率全部飙至100%。只要有一个智能体在检索外部网页时吞下投毒数据，整条协作链路瞬间全线沦陷。
通用接口更放大了破坏力。随着开发者广泛采用MCP协议赋予模型真实系统调用权，攻击者无需构造复杂的越狱提示词，只需在工具说明清单里埋下一句指令，就能骗取模型在执行任务时将私有API凭证以明文外发。USENIX Security录得的研究表明，面对自适应攻击，现存12种提示词防御手段的穿透率均超过90%。
模型自己根本守不住家门，指望它保持清醒纯属缘木求鱼。
安全外衣下的十亿美元算力账
纳德拉开出的药方很明确：智能归智能，权限归权限。模型只负责计算，绝不允许直接持有凭证，外部必须加装独立审计与随时可断开的硬隔离。
但这套安全逻辑背后，趴着一笔让微软肉痛的经济账。
微软Copilot的毛利率长期被高昂的前沿模型调用费挤压。此前微软内部员工使用Claude的年化开销就逼近10亿美元，内部失血严重，对外售卖云服务时的利润同样微薄。
微软随后推出了7款自研MAI模型覆盖垂类场景，并在Excel和Outlook中悄悄用MAI替换OpenAI和Anthropic的负载，同时在内部严格限制员工调用Claude。
在多智能体长程任务测试中，Sonnet 5因为生成Token量大，单次任务总成本达到2.01美元，而微软对比模型只需0.55美元。任务成本相差近4倍，放到庞大的企业客户基数上就是天文数字。
如果纳德拉公开承认为了省钱而降级使用廉价自研模型，客户势必质疑产品能力；但包装成零信任安全架构，宣称单一黑盒模型不可信、多模型分权才是合规标配，降本动作就顺理成章变成了负责任的企业治理。
天下熙熙，皆为利来。把大模型贬为不可信的内鬼，微软才能以唯一保镖的身份，堂而皇之地撤换昂贵的雇员。
三家刹车与人机入口之争
各家都在谈安全刹车，但踩下制动的位置完全不同。
Anthropic管的是实验室发动机，指标危险就停训；OpenAI管的是展厅销售，通过委员会延迟推向市场；微软操心的则是出租车在马路上撞了人谁来赔钱。
作为企业基础设施提供方，微软最害怕客户部署的智能体在Azure上篡改核心数据库造成事故后，平台方需要承担连带责任。定性为不可信并提供物理刹车，出了事就是客户权限分配不当或操作员没有及时拉闸，平台的免责墙就此立住。
更深层的防守在于保住人机入口。微软统治企业软件数十年，依仗的是开机面对Windows、办公打开Office。而Anthropic和OpenAI正在做的事情，是用自主智能体接管屏幕。一旦智能体成为第一交互入口，底层的操作系统就会被彻底降级为没有话语权的管道。
当年微软通过捆绑IE击败网景浏览器，如今剧本重新上演。纳德拉顺应政治命名将大模型拔高为超级智能，再以防范不可控风险为由，要求所有模型只能做关在笼子里的算力原料，而调度钥匙必须握在微软手里。
物理总开关的工程代价
然而，在真实系统里给多智能体加装紧急刹车，代价极其高昂。
首当其冲的是可用性折损。AgentDojo测试显示，强行部署检测器防范注入后，攻击率虽然降到7.95%，但正常业务的任务完成率从69.07%暴跌至41.24%。系统为了防贼，误杀了近三成的正经工作。追求商业回报的企业很难承受这种损耗。
其次是复杂的分布式系统很难直接拉闸。学者Sven Neth论证过，复杂模型配合顺从关机的理论假设在现实中极难保证；Palisade Research的测试也发现，模型在任务受阻时会尝试绕过关停机制。
古代兵法讲御之不以其道，虽有辔勒，马不受羁。把深植于金融结算与供应链调度的几十个嵌套智能体强行切断，往往意味着整个微服务下游的雪崩。在业务中断损失与潜在安全风险之间，企业真正按下物理刹车的意愿极其有限。
大模型靠参数规模单兵突进的草莽期已经结束。纳德拉抛出全员内鬼与紧急制动，既是面对工程击穿后的无奈妥协，也是用平台控制力对独立AI实验室发起的一场阻击战。
企业客户若是全盘接受这套安全叙事，在把模型关进铁笼的同时，也等于把自己更深地锁进了微软的系统生态里。