TL;DR：UAE 打算两年内把一半政府服务交给 agentic AI，部长在迪拜说出一座记录每个代理人念头的控制塔。我拿台上三位讲者的说法，对照自己用多个 AI 代理人维运这个网站时建起来的审查、可逆与问责机制。对得上的不少，但「记录了谁来读」「审计的人谁来审」这两题，台上没答，我也还没答好。

一个政府要把一半服务交给代理人，时间表长什么样？

2026 年 4 月 23 日，迪拜酋长 Sheikh Mohammed 宣布，两年内 UAE 50% 的政府服务、部门与运营要转向 agentic AI。〔Gulf News〕5 月 18 日内阁核准实施框架，同时通过 8 万名联邦员工、五个职类的培训计划。5 月 20 日首批四个代理人上线：采购、税务稽核、顾客满意、技术支援。〔UAE Media Office〕

这里的 agentic AI 指的是能自己规划步骤、调用工具、跨系统完成任务的代理人，不只是回答问题的聊天机器人。两者的差别我之前写过，见〈AI Agents vs. Agentic AI〉。

10 月 14 日，WEF 首届全球未来领袖年会在迪拜开幕，第一场专题叫「Trust Test for Agentic AI」。UAE AI 国务部长 Omar Sultan Al Olama 在台上用一句话形容进度：

“The train has left the station.”〔Gulf News 10/14 报导引述〕 火车已经离站了。

WEF 场次完整视频：Trust Test for Agentic AI，2026-10-14（来源：World Economic Forum YouTube）

我读到这句的时候，想到的是自己的网站。2026 年 4 月 29 日 GitHub 停权我的账号，我在两周内把整套架构重建成三个镜像加本机为准（〈4/29 GitHub 把我断线了〉）。那次也是这样：时间表先到，原则是边跑边补的。差别在规模，一个是一个人的网站，一个是一个国家的政府。

那两周我天天改。5 月 12 日能重新发文时，我没有特别感动。4 月 29 日被断线之后，我仔细想过一件事：架构该长什么样、依赖谁、怎么验证，这些决策本来就该是我的，只是以前默认外包了，要等到被断线才补回来。

控制塔记下每一个念头，谁来读？

这场讨论被报导最多的一段，是 Al Olama 说出控制塔的存在：

“Maybe this was not publicly said before; we have an agent control tower on the UAE government side that every agent needs to plug into, and every action and every specific thought the agent thinks of or action it takes is logged so that there is oversight to ensure we understand what agents are doing, what actions they are taking, so there is a continuous audit of what is being done.”〔TRENDS MENA 报导引述〕 这也许之前没公开说过：UAE 政府端有一座代理人控制塔，每个代理人都必须接入，代理人想的每个念头、采取的每个行动都会被记录，让我们能监督、知道代理人在做什么，形成持续的审计。

他接着补了一句：

“There is an audit of what is done by agents, and there is an audit of what is done by humans to ensure this doesn’t go haywire in any way, shape, or manner.”〔TRENDS MENA 报导引述〕 代理人做的事要审计，人做的事也要审计，确保不会以任何形式失控。

两件事要先讲清楚。第一，他说的是「maybe」，而且范围是 UAE government side，不是全国所有代理人。第二，报导写的是控制塔存在、会记录，没有说明谁读、读多少、多快读。

我自己的网站有类似的结构，规模小得多。写代码、写文件的是 Claude Code；审查交给另外三家模型的命令行工具（OpenAI 的 codex、xAI 的 grok、Google 的 agy），三家一律只读，不能改文件；最后裁决是我。2026 年 10 月 18 日我加了一条规则：任何一方审另一方的工作，下「已完成」结论前，至少要引用一个不是被审方自己写的证据，例如测试输出、部署账本、或自己开文件读到的内容。只引对方的工作记录，结论一律降级成「对方声称」。

这条规则是被逼出来的：五个角色读的是同一份工作记录，信息源可能只有一个。

更早一点，2026 年 8 月 19 日我回头检查过去外审给的意见，发现一个规律：外审对「后果多大」通常判得准，对「出事了会不会有人看到」偏乐观。其中一家外审有两次把「有留下记录」当成「会被发现」。实例是部署账本里一笔倒退，以机器可读的格式躺了十天，没有人读。

所以我读控制塔那段时，最想问的是：每个念头都记下来之后，谁读？记录解决的是「有证据」，有人读才算监督。这不是说 UAE 没有想到，报导里没有这部分，我不知道。

四格漫画：每个代理人都必须接入，代理人想的每个念头、采取的每个行动都会被记录；他说的是「maybe」，而且范围是 UAE government side，不是全国所有代理人。报导写的是控制塔存在、会记录，没有说明谁读、读多少、多快读。部署账本里一笔倒退，以机器可读的格式躺了十天，没有人读。记录解决的是「有证据」；这不是说 UAE 没有想到，报导里没有这部分，我不知道。有人读才算监督。

Al Olama 在同一天解释了为什么要做到这个程度：

“If the government takes one wrong decision, you lose a lot of that currency – you lose a lot of that trust.”〔The National 报导引述〕 政府只要做错一个决定，就会失去很多这种货币，失去很多信任。

他说的货币，是援引 Sheikh Mohammed 新书里「trust is the backbone and true currency」的说法。

延伸阅读：〈AI 证据复核工作流〉、〈跨代理人共用一个界面〉、〈代理人运营的静默失败〉。

哪些动作不能交给代理人？

Al Olama 画了一条线：

“For us, deploying AI is not merely about boosting productivity or savings. If it affects human life and livelihood, then it is a red line.”〔ZAWYA（WAM）报导引述〕 对我们来说，部署 AI 不只是为了提升生产力或节省成本。只要它影响人的生命与生计，就是红线。

Gulf News 报导他另外提到一个比例：大约 70% 的政府服务对 AI 部署有容忍度，30% 的风险超过容忍度，依错误决定的后果分级；低风险的例子是文件续办。〔Gulf News 10/14，转述〕

这个分法我有自己的版本。我在规划任何管线之前会过八个问题，第四题是「这动作可逆吗」：不可逆的先备份、先交叉查核、或开安全窗。给代理人的工作纪律第一条是「做完再停」，只在三种情况停下来问我：破坏性或不可逆的操作、真正改变工作范围、缺少只有我能给的信息。

我用来分界的是撤不撤得回。Al Olama 用来分界的是后果落在谁身上。两种切法会有重叠，但不一样：一个可逆但伤到人的动作，在他那边是红线，在我这边可能过关。我的网站没有市民，这个差别在我这里不会发生，在政府那里是核心。

反过来说，我也有过以为有确认点、其实没有的时候。我的网站每 30 分钟会自动把本机的提交推到三个镜像，中间没有人为确认。我曾经以为「提交了但还没推上去」是一个可以停下来想的窗口，实际上那个窗口不存在。2026 年 8 月 19 日，一份还没修好的漏洞说明在提交后 12 分钟被自动推上三个镜像。决策点应该在提交之前。

WEF 会后的新闻稿把这条线讲得更直接：

“If you have productivity gains but you’re harming people, it does not matter.”〔WEF 10/15 新闻稿〕 生产力提高了却在伤害人，那就不重要。

延伸阅读：〈AI 代理人规划指南〉。

出错之后，能撤回吗？由谁负责？

加蓬数字经济与创新部长 Mark-Alexandre Doumba 从制度设计切入。ZAWYA 的报导转述他的主张：监督要从一开始就设计进代理人系统，包括代理人能做什么的权限分级，以及撤回代理人行动的能力。Economy Middle East 的转述多了一项：清楚的问责链。〔ZAWYA、Economy ME，转述〕

问责那一段，台上有讲者说了下面这句话。两家报导的归属不同：Gulf News 10/14 写是 Al Olama，ZAWYA（WAM）写是 Doumba。我没能从视频核对，所以不点名：

“If something is harmful to a citizen, the responsible entity is not the AI agent. It’s the institution that has deployed it, so accountability will always be tied to a human.”〔ZAWYA（WAM）、Gulf News 10/14 报导引述，讲者归属两家不同〕 如果某件事伤害了市民，负责的不是 AI 代理人，是部署它的机构，所以问责永远会绑在人身上。

这三件事，我的网站各有一个对应。

可撤回。 2026 年 9 月 6 日，我从一个没有并回主线的工作分支部署了 57 篇文章；9 月 10 日主线再部署一次，把那 57 篇从线上盖掉了。之后部署脚本加了一道血统闸，部署前检查两件事：上一次成功部署的版本必须是这次的祖先，以及这次的版本必须能从主线走到。任一不符就不部署。这道闸管的是事前：在部署之前就挡下「盖掉别人成果」的那一次。

权限分级。 三家外审一律只读，不得拿掉闸门，任何一家都不做最终裁决。

问责归属。 裁决是我。代理人写的代码出事，责任在部署它的人，也就是我。这和台上那句问责的话是同一条规则，只是我的机构只有一个人。

Doumba 在〈The Perils of Premature Automation〉谈过「premature automation」，过早自动化。他借用 Rodrik 的「过早去工业化」，指数字基础设施、制度能力、劳动市场的吸收机制与生产能力都还没到位，就先导入自动化。〔Project Syndicate 2026/2/24〕另一篇〈Technological Leapfrogging〉提了三个问题，他把这组问题当作数字主权的基本检验。〔Project Syndicate 2026/9/23，转述〕

  1. 停止付费给厂商，系统还能运作吗？
  2. 有没有本地的替代方案？
  3. 拿到源代码，有没有人会用？

前两题我在 GitHub 停权那次被迫回答过。现在的架构是三个镜像对等、本机 git 为唯一真值，部署只走本机脚本，推送遇到分歧就停手，不自动合并、不强制覆盖（〈第二次停权证明了韧性〉）。第三题我自己答不好。我开发过软件，也管理过软件工程团队，但这个网站的代码大多是和 AI 协作写出来的，源代码要逐行读完，我一个人做不到。我能做的是让一个 AI 写、另外三个 AI 只读不改地挑错，最后由我裁决（〈AI 审查报告最危险的地方，是它看起来查过了〉）。所以在我这里，会用源代码的不完全是我，是我加上一组 AI，而那组 AI 也都是外国厂商的。

他在台上也描述了两条正在分岔的路线：

“There are two distinct approaches emerging today: one that is pushing ahead with unrestricted AI innovation, and another that is focused on establishing governance frameworks and regulatory mechanisms to guide the development and use of artificial intelligence.”〔ZAWYA（WAM）报导引述〕 今天有两种不同的路线正在成形：一种是推动不受限制的 AI 创新，另一种专注于建立治理框架与监管机制，引导 AI 的开发与使用。

架构还来得及改吗？

Bracket Capital 共同创办人 Yalda Aoukar 从投资与架构的角度说话：

“We have a narrow window of opportunity to make sure that the architecture of this evolutionary technology is the right architecture that inspires trust.”〔TRENDS MENA 报导引述〕 我们只有很窄的机会窗口，确保这项演化中的技术采用的是能激发信任的正确架构。

ZAWYA 的报导转述，她谈到儿童与 AI 伴侣（AI companions）时呼吁 safety by design、safety by default，并拿社交媒体当前车之鉴〔ZAWYA（WAM），转述〕：

“Social media was designed to maximise engagement, and engagement and wellbeing are not always aligned.”〔ZAWYA（WAM）报导引述〕 社交媒体是为了最大化互动而设计的，而互动和福祉并不总是一致。

Gulf News 的报导转述了她的另一个观点：安全机制本身正逐渐成为可投资的标的。〔Gulf News 10/14，转述〕Aoukar 是 Umanitek 的 Advisory Board 成员，这家公司做侦测有害内容的知识图谱。

窄窗期这件事，我有一次失败的经验。这个网站曾经有一套「mutation engine」，目标是让网站自己找方向、自己改自己。它跑了七周，安静地停摆，没有人发现。原因是在个人网站的场景里，能让它判断「改得好不好」的信号太稀疏。2026 年 5 月 12 日我把它退役，55 个文件一次归档，改成现在多方议事、我拍板的模式（〈自主研究的去创世纪〉）。

那套东西的架构在第一天就决定了它会怎么失败。我是在跑了七周之后才看懂的。

回头看，窗口在我决定「让 paulkuo.tw 自进化」的那一天就关上了。个人 IP 站、工具站、写作站三个身份的 reward 结构根本不同，却被这一个概念捆进同一个 mutation engine。之后它静静停摆七周，我以为它还在跑，直到 5 月 12 日回头看才发现。架构定下来之后，我能做的只剩退役。

台上没有回答的问题

谁审计审计者？ 控制塔由代理人与人类共同审计。代理人数量上升之后，人类审计能不能跟上，台上没有说。我的做法是把证据锚点放在报告之外，但最后一层仍然是我一个人。这个问题我还没解决，现在由我自己扛。

开放权重与必须接入。 同一场合 Al Olama 谈到各国自建 AI 基础设施、政府不再受制于单一公司，并说：

“The challenge is if everyone can deploy AI on their own infrastructure in their own way, that would create a lot more avenues of things going off the rails and harming people.”〔The National 报导引述〕 难处在于，如果每个人都能用自己的方式在自己的基础设施上部署 AI，出轨、伤人的路径就会多很多。

模型权重一旦公开，「每个代理人都要接入控制塔」在技术上还能不能强制，报导没有写到。

劳动力的速度。 政府这边，内阁核准了 8 万名联邦员工的培训计划，时程是两年转一半服务。同一周，ADNOC 公布的数字是 2 万名员工、3,000 个上线中的模型。这是一家企业的数字，不能直接当成政府的进度；两年转一半服务够不够快，我没有数据判断，只能并列。

跨国管辖。 一个在 UAE 部署的代理人，如果在别国执行动作出了问题，由谁负责？台上没有人回答。

回到自己：三个问题

把台上的三个角度收起来，是三个我也得回答的问题：

  1. 我的审计基础设施，记下来的东西有没有人读？
  2. 我的系统里，哪些动作设计成可以撤回，哪些没有？
  3. 我还有没有时间在架构层做选择，还是只能事后补救？

第一题，记下来不等于有人读。前面那笔部署账本的倒退躺了十天，就是例子。2026 年 10 月 18 日起，我规定任何一方对另一方的工作下「已完成」结论前，至少要引一个不是被审方自己写的证据，例如测试输出、部署记录或线上响应。

第二题，部署设计成事前可挡，就是前面那道血统闸；提交推上镜像则撤不回，约 30 分钟内就出去了。所以敏感内容的决策点放在提交之前。

第三题我没答好。前面那道血统闸是出事之后才补的，在 57 篇被盖掉之后。我有一份动工前自问的八题清单，其中一题就是「这动作可逆吗」，但到目前为止，真正挡下事情的规则多半来自事后。mutation engine 那次也一样，架构选择在我意识到之前就做完了。

我之前写过，代理人让事情变方便，但没有让事情变简单（〈AI 代理人：方便不等于简单〉）。这场讨论让我多看到一层：信任的成本不会因为规模变小就消失，只是由一个人全部扛下。

资料来源