日本给公务员发智能体，先锁住它能改的文件

日本政府把能连续干活的智能体交给了普通职员，而让这件事能放开的，不是一份「请大家小心」的提醒，是系统先写死了智能体能碰什么、不能碰什么。

先说结论。数字厅 10 月 20 日在政府 AI 平台「源内」上开放智能体环境，对象是全府省厅约 18 万名职员，按公告说法面向一般职员，不限于专业技术人员。我们的看法是：这件事值得看的不是「世界首次」的说法，而是它的权限设计——智能体只能改自己生成的文件，职员上传的原件它动不了；能写代码、能上网的高级环境默认关闭，要过素养检查再审批开通。这套做法把风险控制从人的自觉挪到了系统里，但它到底有没有让职员把活做成，现在还没有任何公开数字能回答。

发生了什么

据数字厅的公告，源内上线两种智能体环境：「智能体对话」从 10 月 20 日起向各府省厅分批导入，职员用对话就能创建并运行智能体；「源内工房」目标在 2026 年 12 月前后导入，能自主写代码、改文件、执行命令和测试。公告称，让一般职员（不限于专业人员）在日常工作中使用相当于先进编程智能体的环境、规模约 18 万人，据数字厅自己的调查是世界首次。两套环境计划在 2027 年 2 月前后作为「源内 OSS 2.0」开源，任何人可使用、修改和再分发。

同一天公布的还有「源内基准」第 1 版，由数字厅会同日本 AI 安全研究所（AISI）制定，分别写了使用者（职员）、管理者（各府省厅的 AI 统括责任者等）、开发者（数字厅源内团队）的责任。基准里直接点名，Claude Code、Codex 这类编程智能体的用途已不限于写程序，懂业务的普通人用自然语言下指令，也能完成整理资料、分析数据、多步骤处理到成果检查的一整串工作，所以政府职员也用得上。据 ITmedia NEWS 的报道，数字厅这次的定位是让职员自己做智能体、自己运行。

规矩写在系统里

一件具体的事最能说明这套设计。一位职员把一份 Excel 原件上传到智能体对话，让它整理成汇报材料。按源内基准第 3-5 节，接下来会发生的是：智能体能覆盖或删除的只有 AI 生成的文件；它要改原件时，系统会先自动复制一份，改的是复制品；它的工具只在这位职员自己的工作盘里运行，碰不到本地电脑；它不能直接连接源内团队没管理的 API 或 MCP 服务器；联网搜索在政府云里完成，不会从智能体对话直接访问取到内容的网站；上传的脚本不会因为上传就自动执行。

源内工房的自由度高得多，基准写明它可能连续执行几十到几百步，并点出了工具说明里藏恶意指令、技能里藏反向连接这类风险。对应的限制是：工房默认不可用，职员先通过素养检查、再提申请，由管理者开通；向外发送数据（POST、PUT 等）在系统层面被拦住，只放行搜索需要的读取请求，并记录访问对象、流量和时间；输入输出与外部通信写进防篡改的日志；发现违规时开发者可以停掉这个人的权限。

人这一侧也有硬规矩：职员没核对过的 AI 输出不得直接抄进行政资料和公文；机密等级 3 的信息、特定秘密不得输入；管理者在许可、给付、不利处分、录用等影响国民权益的业务里，要按风险限制智能体的使用。据事业构想在线整理的大臣记者会要旨，古川数字大臣称这套基准也可以给考虑上智能体的地方政府和企业参考。

分析推断（依据：基准第 3-5、3-6 节的系统限制条目）：对一个大多数用户不懂技术的组织，最可能出事的地方是误删原件、把数据发出去、装了来路不明的技能。源内把这三处都做成了系统默认，而不是写进培训材料，这是它敢面向 18 万人开放的前提。企业给员工开放智能体时，可以拿这三处逐一对照自己的配置。

18 万是名额，不是用量

需要分清的是数字的口径。据数字厅 5 月 28 日的公告，大规模实证 5 月开始，5 月 29 日时约 10 万名职员「可以使用」源内，之后逐步扩到约 18 万人。也就是说，18 万是实证面向的人数，不是每天在用的人数，更不是智能体的使用人数。基准第 1 章还写明，2027 财年起各府省厅要自己编预算转入正式使用。

使用数据本来是有计划公开的。据时任数字大臣松本 4 月 17 日的记者会，数字厅打算从夏季起按月公布实证情况，指标包括「开始使用率」（发了账号后至少用过一次的比例）、「月度使用率」和「人均执行次数」，按政府整体和各府省厅分别列出；同一场记者会上给出的唯一使用数字是，国会答辩调查分析应用 3 月共被使用 1,424 次。本次检索中，我们没有找到按这三项指标公布的月度报告。

最强反方

最有力的反驳是：限制写得越死，智能体对话就越像一个带工作盘的聊天窗口，真正能把一串活做完的是源内工房，而工房默认关闭、要审批，年底前后才导入，18 万人里最后能开通几个人没人知道。这样看，所谓「向 18 万人开放智能体」更像一次宣传上的放大，安全是靠不让用换来的。另一种反驳是，系统把风险兜住以后，职员反而更容易不核对输出，人工把关的规定会流于形式。

我们在第一点上部分让步：智能体对话能做多少事，确实要等使用数据，工房的开通人数也是检验这套设计的关键指标。但我们仍然认为，「哪些事系统不让做、哪些事要人批」被写成公开的条款，并且能对照检查，这本身就是变化：别的组织可以拿着条款逐条对照，而不必猜它内部怎么管。第二点我们没有证据反驳，只能把它列为要看的问题。

我们不知道什么

• 智能体对话上线后，实际有多少职员用过、每月用几次、用在哪些工作上；数字厅说要按月公布的使用率，本次没有找到。
• 源内工房的素养检查考什么、门槛多高，年底导入后会有多少人获准开通。
• 「世界首次」是数字厅自己的调查结论，我们没有找到第三方的核对。
• 2027 年 2 月开源时，权限限制会有多少随代码一起放出来，还是只开放界面与功能部分。

接下来看什么

一看数字厅有没有按月公布开始使用率和月度使用率，以及智能体对话的数字是否单独列出；二看 12 月前后源内工房导入时，开通人数和事故处置记录是否公开；三看 2027 年 2 月的开源版本里，「只能改 AI 生成的文件」「禁止向外写数据」这些限制是否作为默认配置一起提供。