Salesforce拆穿了Agent最大的谎言

AI行业花了几年时间教机器自主决策，Salesforce却发现，企业要让Agent真正干活，先得把一部分决定权收回来。

昨天，ByteByteGo发表了对Salesforce CTO Muralidhar Krishnaprasad的深度访谈，揭开了第一代Agentforce的一段尴尬经历。

最初，Salesforce把业务规则、操作流程、工具说明全部塞进一大段Prompt，希望模型自己遵守。结果，规则一多，模型就开始漏执行。

CTO透露，当时团队观察到，模型处理八条左右的指令还算可靠，继续增加就容易遗漏。这是第一代产品的工程经验，并非所有大模型都有八条指令的固定上限。

聊天机器人偶尔答错话，用户可以重新提问。但Salesforce的客户要用Agent筛选求职者、处理患者数据、执行企业业务，一次错误就可能变成事故。

Salesforce最终做了一个开倒车的决定：把关键业务规则从Prompt里拿出来，交还给传统代码。

一家全球企业软件巨头，投入巨资拥抱AI之后，发现维护企业纪律还得依靠软件。

Agent最大的谎言终于暴露了：能理解一项工作，不代表能够可靠地完成这项工作。

过去两年，开发Agent最常见的办法，是写一段系统提示词，规定它能做什么、不能做什么，连接几个API，再让模型自己安排执行顺序。

演示通常很漂亮。Agent能理解需求，会调用工具，还能表现得像个经验丰富的员工。

问题藏在Prompt里。

企业可能要求Agent先核验客户身份，再检查合同状态，确认权限后才能修改订单。对于模型而言，这些规则本质上仍是上下文中的文字。

Prompt可以影响模型的行为，却无法保证模型必须执行某个动作。

模型完全可能理解了规定，却在复杂推理过程中漏掉其中一步。规则写得再严肃，也不能自动变成程序级约束。

Salesforce的解决方案是Agent Script。

它把必须执行的流程写成代码，编译为Agent Graph，由Atlas Reasoning Engine负责运行。模型仍然承担语言理解和推理，但某些动作不再依赖它是否记得Prompt。

在Salesforce展示的模拟医疗场景中，患者Harper Clark询问下次预约时间。

旧方案是在Prompt中写明必须先查询预约记录。

新方案把查询写进before_reasoning代码块。只要系统进入相应子任务，查询就会在模型推理之前执行。模型拿到记录，再负责组织回答。

这种设计并不能保证模型永远选对任务、说对答案，却可以保证特定执行路径上的强制步骤不会被模型随意跳过。

这是一个非常重要的区别。

企业Agent的可靠性，不能继续寄托在模型的自觉性上。

过去大家研究Prompt工程，希望通过更精巧的文字提高执行成功率。Salesforce则重新引入编译器、执行引擎和确定性流程。

AI革命绕了一圈，软件工程师又有活干了。

Salesforce的架构调整，真正值得收藏的价值，是它揭示了企业Agent进入生产环境必须解决的五个问题。

第一，什么事情必须做？

答案是确定性执行。

关键流程不能仅靠Prompt约束。需要核验身份，就在执行链中强制核验；需要满足条件才能修改数据，就让程序检查条件。

Agent Script解决的正是这类问题。

第二，什么信息可以知道？

答案是可信上下文。

Salesforce的Data 360负责连接不同数据系统、统一数据格式、识别客户身份。Agent Context Engine进一步决定，模型在当前任务中应该看到哪些信息。

在Salesforce展示的保险查询场景中，传统方案消耗约12.4万个Token，使用Context Engine后减少到约9000个，降幅约93%。这是厂商演示数据，不能直接推导为所有场景的普遍效果。

更有意思的是记忆管理。

客户表示可能搬去佛罗里达，系统可以记录这个意向，却不能擅自修改正式客户档案。只有业务流程确认之后，经过批准的信息才有资格成为长期事实。

Agent最大的记忆风险，是把一次未经证实的判断，变成整个企业反复使用的事实。

过去企业管理客户记录，未来还要管理机器对客户的认知。

第三，什么操作有权执行？

答案是独立身份。

传统Agent经常继承员工权限。员工能够访问或修改的数据，Agent也可能获得同样的操作能力。

Salesforce提出Agent Identity，为Agent单独建立身份和权限。执行操作时，同时检查员工权限、Agent权限和数据策略。

员工拥有的权力，并不意味着Agent可以全部继承。

这还引出另一个关键区别：操作权限和信息权限必须同时管理。Agent即使没有修改敏感数据的权力，如果这些数据已经进入上下文，仍可能通过回答泄露出去。

第四，怎么知道做对了？

答案是结果验证。

模型调用了工具，只能证明它执行过某个动作。业务有没有完成、数据有没有写错、结果是否满足要求，还需要单独检查。

Agent可以报告任务成功，但企业不能把这句话直接当成验收证明。

第五，做错了怎么办？

答案是状态管理、审计和恢复。

企业必须知道Agent执行到哪一步、修改了哪些记录、失败发生在哪里，以及哪些操作可以撤销、哪些需要人工处理。

前面三项，是Salesforce此次访谈中重点展示的架构能力。后面两项，是生产级Agent必须进一步具备的系统能力，不能理解为Salesforce已经全面完成了相关建设。

五个问题合在一起，才构成一套真正值得企业采购的Agent基础设施。

必须做什么、能够知道什么、有权执行什么、如何证明做对了、做错了如何收场。

任何企业Agent产品，无论演示多么惊艳，都应该接受这五个问题的检验。

这是判断Agent是否具备生产价值的一把尺子。

Salesforce的经验揭示了一个比技术架构更深刻的经营问题。

企业购买Agent，最终购买的是可控的业务结果。

模型准确率达到99%，听起来很漂亮。但如果每次错误都可能涉及资金、合同或者敏感数据，剩下的1%就不能简单忽略。

更何况，企业流程通常由多个步骤组成。每一步都有错误概率，步骤之间还存在相互依赖。单项能力表现优秀，并不能直接保证完整业务成功。

这也是为什么Agent自主权必须与任务风险匹配。

查询公开资料、整理内部会议纪要，可以允许较大的自主空间；修改客户记录、调整付款信息、批准交易，则需要更严格的规则与授权。

这里隐藏着一个反常识的产品设计原则：

优秀的企业Agent，应该知道哪些决定不能自己做。

自主性并非越大越好。关键在于企业给出的授权范围，是否与Agent能够承担的责任相匹配。

对于高风险业务，企业可以让模型提出建议，由确定性流程检查条件，再通过人工审批完成最终操作。对于可逆、低风险且规则清楚的任务，则可以扩大自动执行范围。

真正成熟的Agent系统，需要将自主权分配给不同的业务环节，而非让一个模型从头到尾包办。

这直接改变了Agent产品的竞争标准。

过去比谁的模型更聪明、任务规划更漂亮。未来还要比谁能稳定运行、处理异常、控制损失，并拿出经过验证的业务成果。

Salesforce的Enterprise AI Harness试图将上下文、执行、权限、评估和监测整合为统一基础设施。不过，其中部分能力仍处于预览或测试阶段，统一体验计划从FY2028财年初逐步推出。

技术方向已经明确，大规模可靠性仍需要实践证明。

如果只把这次变化看成Agentforce架构升级，就低估了Salesforce的野心。

它真正要争夺的，是企业Agent时代的软件控制权。

过去二十多年，企业软件公司的重要资产有三种：用户入口、业务数据、工作流程。

员工打开Salesforce处理客户，打开SAP查看订单、处理财务。

软件界面控制员工的工作方式，业务数据和流程则把员工留在软件里。

Agent可能打破这个结构。

未来销售人员完全可以在Claude中查询客户、筛选商机、制定销售计划，再由Agent调用Salesforce完成操作。

员工不再需要频繁打开CRM。

对于传统SaaS公司，这意味着最重要的用户入口可能被AI平台拿走。

Salesforce却选择主动开放。

它通过AIforce、Headless Toolkit、API、MCP和Skills，让Claude等外部Agent也能发现并调用Salesforce的业务能力。

其中，Headless 360 MCP Server采用了一个巧妙设计。

Salesforce拥有大量API和业务操作。如果全部放进模型上下文，光是理解工具说明就要消耗大量Token。

新设计只暴露四类工具：Discover、Describe、Dispatch和只读Dispatch。

Agent先寻找需要的业务能力，再读取调用规则，最后执行操作。底层可以有大量API，模型不必一次全部认识。

这相当于把复杂的企业软件，重新包装成机器能够调用的业务能力。

Salesforce开始接受一个现实：未来的软件入口未必属于自己，但它仍然可以争夺业务执行的控制权。

不过，开放接口也是一次危险的赌博。

当Claude掌握用户意图、任务规划和交互入口，Salesforce可能逐渐变成后台服务供应商。

谁控制任务分配，谁就可能控制客户关系。谁提供不可替代的业务能力，谁才有机会保住收费权。

真正的问题是：Salesforce掌握的数据、业务规则和执行能力，究竟有多难替代？

如果接口逐渐标准化，客户又能方便地迁移数据和流程，底层软件公司的议价能力就可能下降。

如果客户必须依赖Salesforce长期积累的业务关系、权限体系和操作逻辑，它仍然能够控制关键业务环节。

Salesforce赌的是，未来企业最值钱的软件，可以不再拥有用户界面，却必须拥有机器执行真实业务时绕不开的能力。

中国企业软件公司面临同一道选择题。

钉钉、飞书、企业微信掌握协同入口，用友、金蝶掌握大量财务、采购、库存和经营流程。

当用户习惯通过Agent完成工作，软件界面带来的黏性可能减弱，底层数据、业务规则和执行能力的价值则需要重新评估。

谁能把多年积累的企业能力变成可调用、可授权、可验证的服务，谁就有机会成为下一代Agent的基础设施。

反过来，只守着传统界面、无法向外部Agent开放业务能力的公司，可能逐渐失去客户工作流程中的主动权。

企业软件的竞争重点，开始从占据员工的屏幕，转向占据Agent的执行链条。

Salesforce披露了一组很漂亮的数字。

2026年8月26日发布的FY2027第二季度财报显示，截至7月31日，Agentforce与Slack累计完成约70亿Agentic Work Units，简称AWU，其中第二季度约32亿，环比增长97%。

Agentforce年度经常性收入超过15亿美元，同比增长超过240%。

数字相当惊人，但其中存在两个容易被误读的地方。

首先，AWU不等于完整业务任务。

按照Salesforce的定义，处理Prompt、完成推理链和调用工具，都可能计入AWU。

一次客户问题可能涉及多个工作单元。即使调用执行成功，也不能自动证明客户问题已经解决。

因此，70亿AWU说明平台拥有相当大的使用规模，却不能直接解释企业从中获得多少利润。

其次，Salesforce从FY2027第二季度开始扩大了Agentforce ARR的统计范围，将其他AI产品、Slackbot和Headless 360纳入其中。

15亿美元的ARR不能直接理解成独立Agent产品创造的全部新增收入。

真正值得研究的，是AWU背后隐藏的商业矛盾。

Agent行业可能重复SaaS行业早期的错误：把使用规模当成业务价值。

传统软件喜欢讲注册用户、活跃用户、使用时长。Agent平台开始讲Token、工具调用次数、Agent数量和工作单元。

但企业购买Agent，是希望减少完成任务所需要的人力、时间和成本。

同样解决一项客户问题，一个Agent调用30次工具，另一个只需要5次。如果质量相同，后者可能更有效率。

假如厂商按调用次数收费，客户提高执行效率，反而可能减少厂商的计费量。

这并不意味着Salesforce直接按AWU收费。AWU首先是一项平台工作量指标。但它揭示了整个行业将要面对的问题：客户希望减少完成一项任务的消耗，厂商却需要从这项任务中持续获得收入。

于是，Agent定价可能沿着几条不同路径演变：按使用量收费、按任务收费、按业务成果收费，或者继续嵌入传统软件订阅。

每种模式都会重新分配效率收益和执行风险。

按调用收费，厂商收入容易计量，客户却需要承担任务低效的成本。

按结果收费，客户更容易判断价值，厂商则必须解决任务归因、结果验收以及错误责任的问题。

企业Agent真正困难的地方，恰恰在这里。

能够展示调用次数的软件很多，敢于对业务结果收费的软件很少。

因此，未来评价Agent产品，至少需要四项更有意义的指标：完整任务成功率、人工接管率、单任务总成本，以及异常损失。

前两项判断系统是否真正具备自主执行能力，后两项决定它能不能成为一门赚钱的生意。

如果一个Agent节省的人力成本，还不够支付模型调用、运行维护和异常处理费用，那么自动化规模再大，也没有创造多少经济价值。

70亿AWU值得关注。但决定Salesforce下一轮增长的，最终还是这些工作单元能为客户创造多少可验证的经营收益。

Salesforce这次调整，揭示了Agent产业的一条长期规律。

模型能力不断提高，越来越多的企业都能获得不错的推理能力。模型本身的竞争不会消失，但企业真正难以复制的部分，可能逐渐转移到模型外围。

可信数据、业务规则、权限体系、执行引擎、结果验证，以及多年积累的企业流程，都有可能成为新的竞争壁垒。

对于Salesforce、SAP、Oracle、ServiceNow、Workday，以及中国的企业软件，这是一次重新证明自身价值的机会。

对于创业公司，机会同样清楚。

简单封装模型、连接几个API的Agent产品，很容易被复制。真正值得投入的，是深入某一类业务，把上下文、执行、验证和异常处理做成可靠系统。

能够稳定完成一项高价值任务，通常比宣称什么都能做更有商业说服力。

Salesforce亲手推翻第一代Agentforce的意义，就在于它把企业AI的竞争从演示效果拉回到了软件工程和经营责任。

“未来企业AI最昂贵的能力，并非让模型学会做一件事，而是让企业敢于放心地把这件事交给它。

模型负责理解意图，系统负责约束行为，企业负责判断结果。

当这三者真正形成闭环，Agent才有资格从演示工具变成生产系统。

AI可以犯错，企业不能把犯错当成业务流程。

这就是Salesforce拆穿的最大谎言。