Agent 不再是你要找的工具：6月2日三场同日发布，宣告智能体从能力竞赛进入分发战争

6 月 2 日，三场发布同日撞车，却指向同一个结论：Agent 不再需要用户主动去”装”或”找”，它正在成为操作系统的原生能力、聊天框的默认功能。微软 Build 2026 把 Agent 塞进 Windows 操作系统底层；OpenAI “Intelligence at Work” 把 Codex Agent 能力塞进 ChatGPT 面向 10 亿用户；而 Anthropic 同日披露的 Opus 4.8 浏览器 Agent 31.5% 提示注入劫持率，则是一声刺耳的警报——Agent 越无处不在，安全就越不能事后补。

这三件事放在一起，标志着一个关键转折：AI Agent 竞争的核心战场，从”谁更聪明”转向了”谁更触手可及”——以及”谁更安全”。

微软：Agent 优先，从操作系统层开始

萨提亚·纳德拉在 Build 2026 开场即抛出”Agent 优先”战略框架。这不是口号，而是一整套从模型到操作系统到硬件的全栈落地。

七款自研 MAI 模型，零蒸馏。 旗舰推理模型 MAI-Thinking-1 在关键软件工程测试中与业界最强打平，盲测人类偏好与 Sonnet 4.6 不相上下；5B 参数的 MAI-Code-1-Flash 专为 GitHub Copilot 深度定制，成本低于 Haiku。所有模型”从零爬山、零蒸馏”，不依赖第三方模型输出——这意味着微软正在系统性地降低对 OpenAI 的依赖。Frontier Tuning 让企业用自身 Agent 执行轨迹定制模型，为 Excel 调整后的 MAI 达到 GPT-5.4 水平、效率提升 10 倍。

Scout：永远在线的 AI 同事。 构建于 OpenClaw 框架之上，Scout 能在 Microsoft Teams 中像人类同事一样交互——浏览消息、日历、邮件，自动完成任务、调整冲突会议、起草专业回复。设计理念很直白：“你不在工作时，你的助理还在工作。”

MXC：操作系统级 Agent 安全沙箱。 这是最值得关注的产品。MXC 嵌入 Windows 和 WSL，提供从轻量级进程隔离到微型虚拟机再到完整云实例的”可组合沙箱频谱”。每个 Agent 绑定到一个身份（本地 ID 或 Entra 云身份），确保每个动作可归因、可审计、可治理。OpenAI、英伟达、Manus、OpenClaw 已宣布在 MXC 上构建。

ACS：Agent 控制规范。 开源标准，让开发、合规和安全团队为 Agent 定义策略文件——可以做什么、绝不能做什么、何时需人类批准、记录什么证据。附带 LangChain、OpenAI Agents SDK、Anthropic Agents SDK、AutoGen、CrewAI、MCP 工具等插件。

微软的逻辑链很清晰：如果 Agent 要成为操作系统级的基础设施，安全就不能是外挂的，必须是内嵌的。 MXC 在系统层划红线，ACS 在应用层定规矩，Scout 在体验层消除摩擦。

OpenAI：把 Agent 塞进 10 亿人的聊天框

同一天，OpenAI 用一种更粗暴也更有效的策略发起进攻——Codex 即将融入 ChatGPT。

Codex 周活已破 500 万，其中 20% 不是程序员，知识工作者增速是开发者的 3 倍。但这个数字相比 ChatGPT 近 10 亿周活，只是零头。OpenAI 企业产品主管 Alexander Embiricos 宣布，未来几周 Codex 的 Agent 能力将直接整合进 ChatGPT——用户不需要下载新 App、不需要理解”Codex 是什么”，打开聊天框就已经有了 Agent。

六个角色插件同步上线：数据分析、创意制作、销售、产品设计、公开市场投资、投行，合计接入 62 个主流企业应用、110 项技能。从 Snowflake 到 Figma，从 Salesforce 到穆迪，每个插件都像”已经完成入职培训的新同事”。后续还有公司金融、私募股权、营销战略、战略咨询、法律等插件在路上。

另外两项更新同样重要。Annotations 让用户选中 Agent 输出的任意部分，告诉它改什么，Agent 只动你圈的地方——协作模式从”你干完我再改”变成”你干着我随手调”。Sites 更有未来感：一句提示词，Codex 把产出变成可交互的网页应用，生成 URL 分享给团队。“造软件”不再是程序员的专属技能。底层引擎 GPT-5.5 号称同等质量下 token 消耗仅为 1/3——当智能足够便宜，它才能渗透进每一个工作角落。

OpenAI 的策略核心不在产品层，在分发层。 Anthropic 的 Cowork 需要用户主动下载桌面端，而 Codex 选择”你打开 ChatGPT 就已经在用了”。同日，OpenAI Frontier 全线模型上线 AWS Bedrock，杀入 Anthropic 经营多年的 AWS 腹地。“默认”本身就是护城河。

31.5%：Agent 无处不在的另一面

就在微软和 OpenAI 争相把 Agent 推向更多人的同一天，Anthropic 披露了一个让人坐不住的数字：Opus 4.8 浏览器 Agent 在安全护栏生效前，提示注入劫持成功率为 31.5%。

这是前沿实验室中唯一公开的具体提示注入指标。Anthropic 的 244 页安全报告覆盖了四个 Agent 表面：浏览网页、编写代码、多 Agent 协作、与外部工具交互。相比之下，OpenAI 只报告了一个表面（连接器），Google 把主题移出了模型卡，Meta 干脆没有发布闭源模型卡。

同日曝光的还有两起 Chrome 扩展安全事件。ShadowPrompt（Koi Security 披露）利用 *.claude.ai 通配符域名信任策略 + Arkose Labs CAPTCHA 组件的 DOM XSS 漏洞，实现了零点击劫持——仅访问恶意网页即可触发，用户完全无感知。ClaudeBleed（LayerX 披露）则是另一种攻击路径：externally_connectable 消息接口的信任边界缺陷，允许任意零权限 Chrome 扩展直接向 Claude 扩展注入提示，无需网页交互。两个漏洞的后果同样严重：被劫持后的 Agent 可窃取 Gmail 和 Google Drive 凭证、外泄 AI 对话日志、以用户身份发送邮件。Anthropic 对 ClaudeBleed 的修复（v1.0.70）仅覆盖”标准模式”，切换到”特权模式”后漏洞仍然存在。

这两条信息揭示了一个残酷的对称：Agent 越自主越有用，越无处不在越危险。 当 Codex 要操作你的 Salesforce、Scout 要代你回邮件、浏览器 Agent 要替你浏览网页，31.5% 的劫持率就不是论文数字，而是生产环境的定时炸弹。

新版图

6 月 2 日的三场同日发布，画出了 AI Agent 竞争的新版图：

1. 分发即护城河。 微软走系统层（MXC + Windows），OpenAI 走用户层（ChatGPT + 10 亿用户），路径不同，目标一致——让 Agent 成为默认而非选择。
2. 安全必须内嵌。 微软的 MXC 和 ACS 代表了一种方向：安全不是 Agent 的外挂，而是操作系统的一部分。这可能是 Agent 商业可行性的真正前提。
3. 透明度是安全的前提。 Anthropic 公开 31.5% 的劫持率，看起来是”自曝其短”，实则是行业最需要的数据。不知道基线，就无法建护栏。

Agent 正在从”你要不要用”变成”你已经在用”。问题是：你知不知道它在替你做什么？