微软给智能体发了账号和邮箱：分得清是谁做的，记忆却不分谁能听

设想一家公司的财务部。每周二例会前，一个叫「预算助手」的智能体用自己的账号去拉计划表，对比各部门交上来的解释，再发邮件追问说不清的变动。同事在 Teams 里 @ 它补一句背景，或者直接回它的邮件。这个场景不是我们编的，是微软在发布文里自己写的设想。它想说明的是：智能体不再是一个要你专门打开的对话框，而是通讯录里的一位「同事」。

先说结论：这次更新把「这一步是谁做的」记清楚了，这是真进步。但在预览版里，最需要人接手的位置不在审批，而在记忆。智能体的记忆是全团队共用的，微软的说明写得很直白：它在用户之间没有隐私边界，用户不能退出，管理员也不能单独把它关掉。

发生了什么

据微软 Copilot 博客10 月 15 日的发布文（企业宣称），Copilot Studio 推出三样东西：智能体账号、业务流程记忆，以及 GitHub Copilot harness 里的触发器。账号让智能体用自己的凭据在 Microsoft 365 里干活；人可以在 Teams 和 Outlook 里给它派活，也可以在 Word、Excel、PowerPoint 的批注里 @ 它。微软的说法是，动作会记在智能体名下，流程负责人保留对其范围的控制，因此更容易分清哪些操作是智能体做的、哪些是人做的。触发器则让智能体在收到一封邮件或到了设定时间时自己开工，不需要有人再发一句提示。这些功能通过 Frontier 早期体验计划推出。

据 Microsoft Learn 账号说明（官方文件，预发布文档），发布后的智能体会拿到自己的 Microsoft Entra 身份、邮箱、Teams 在线状态和通讯录条目，管理员可以像审计普通身份一样审计它。门槛也写得清楚：环境要处在早期发布通道，创建者要有 Microsoft 365 E5 加 Agent 365 附加许可，或者 E7；每个智能体发布时还要占用一个「Microsoft 365 Frontier for AI Teammates」许可，使用、搭建和测试智能体还可能消耗 Copilot Credits，与账号许可分开计费。

一件事做成要几步，人卡在哪里

按顾行的习惯，拿一件具体的事来检验：让智能体每周整理一次团队进度。

第一步，建账号。据 Microsoft Learn 账号说明，智能体的邮箱地址以创建者自己的别名作固定前缀，汇报关系挂在创建者名下；预览期内这两项都改不了，发布后邮箱地址也改不了。也就是说，这个「同事」从出生起就挂在某个人名下。

第二步，给权限。说明强调，账号不会自动拿到每个工具的权限，要逐个核对工具用的是谁的身份，只给够用的那部分。带「机密」或「仅限内部」敏感度标签、受保护的文档，智能体读不了。

第三步，开始干活。限制也列在同一页：它不回应租户以外的人；在 Office 批注里被 @ 时能做的事有限，不能对现有文档做定点修改或协同编辑，只能生成新文档；邮件对话超过 250 人就不回复；Microsoft Graph 的权限范围也没有全部支持。微软在说明里给的「Cadence」配置，特意让智能体每次生成一份新文档，而不是去改旧文档，原因就是协同编辑还不支持。

到这里，人需要接手的位置都很好理解：建账号的人，给权限的人，以及最后拍板的人。博客里的预算场景也写明，是否修改预测、是否批准计划，由财务团队决定。

真正没人接手的那一块：记忆

问题出在第四件事上。据 Microsoft Learn 常见问题（官方文件），有账号的智能体只有一份记忆，和它打交道的所有人共用，一对一私聊也不例外。这份记忆既存工作事实，比如团队流程和术语，也存关于个人的细节，比如某人喜欢怎样收到进度更新。

几条规则放在一起看：

• 智能体的人员卡片上有一句提示：你分享的文件和聊天可能被总结后出现在它对任何用户的回答里，即使对方没有原文件或聊天的访问权限，也不论敏感度标签。
• 微软写明，智能体被引导不要把一个人的细节透露给别人，但共享记忆在用户之间没有隐私边界。
• 用户不能退出共享记忆，使用智能体即视为同意；管理员也不能单独关闭它，要关就得把智能体账号整个关掉。
• 所有和智能体打过交道的人都能查看或删除它保存的记忆；如果 28 天没人和它互动，记忆会被自动删除。

微软也设了排除项：证件号、生日、卡号、家庭住址，密码与凭据，健康信息，宗教、残障、移民身份等受保护特征，对某人表现或品行的评价，以及它自己得出的结论和从一句话得出的概括，都不进记忆。

分析推断：把这些规则并排放，会看到两条边界没有对齐。智能体能读什么，由文件权限和敏感度标签管着；它记住的东西能被谁听到，却不受这套权限约束。依据是上面引用的人员卡片提示和「没有隐私边界」的原文。换句话说，一个人在私聊里顺口提到的、本来只有他能看的文件内容，被总结进记忆以后，理论上可以出现在别人的回答里。

最强反方

最有力的反驳是：这正是设计目的，而且微软已经说在了前头。共享记忆的卖点就是「一个人教过的，全团队都能用」，博客原话也是这么写的。人员卡片和第一次对话都会提示，敏感类别被排除，受保护的文档读不了，智能体也不回应外部用户。再加上它只在 Frontier 租户、早期发布通道里开放，每个智能体还要单独占用许可，真正用上的组织规模有限。团队共享文档本来也没有「按人隔离」，没必要对智能体苛求。

我们部分让步：对只处理流程类信息的智能体，比如整理进度、汇总工单，这套设计确实够用，这时关键只在于成员有没有读到那句提示。但我们仍坚持论点，理由有两条。第一，共享文档是人有意写进去的，也能单独设权限；共享记忆来自对话和文件的总结，连一对一私聊都算在内，写进去的人未必意识到自己在「发布」。第二，规则把开关交到了两头都不顺手的地方：用户不能退出，管理员只能整体关停，而任何一个互动过的人都能删记忆。分析推断：这意味着记忆该存什么、错了谁来删，目前没有明确的负责人，只能靠团队自己约定。

我们不知道什么

• 「被引导不要透露个人细节」在实际对话里守得住多少，微软没有公开评测数字。
• 记忆被谁查看、被谁删除，是否会留下可审计的记录，现有说明没有写。
• 正式版会不会加入按人、按文件权限的记忆隔离，或者允许管理员单独关闭记忆。博客只说访问策略、质量、成本和生命周期管控「计划在未来几个月」推出。
• 有多少租户已经开通，除了微软点名的 Ooredoo Qatar 之外有没有公开案例，目前也看不到。

接下来看什么

据 AI.info 报道（媒体报道），发布文里「智能体像人一样用自己的凭据工作」这句话出自 Copilot Studio 产品副总裁 Jason Moore；报道的判断是，账号给了智能体更清楚的身份，而不是做重大决定的独立权限。我们同意这个读法，也想补一句：身份解决的是事后追溯，记忆决定的是事前谁能知道什么。

微软 Copilot 博客页面顶部挂着 Ignite 大会的预告（11 月 17 日至 20 日）。到时值得看三件事：共享记忆有没有按权限分人的选项；管理员能不能单独关闭记忆；预览结束后智能体许可怎么收费。

我们的看法：对正在试用的团队，智能体账号这一步值得做，因为「谁做的」终于能查。但在记忆规则改之前，更稳妥的用法是只把它放进公开程度本来就一致的团队，别拿它处理只有部分成员能看的内容。如果正式版加上按权限隔离或管理员单独开关，我们会改口。