一个被反复引用的数字：Gartner 说只有 8% 的组织真正把 agentic AI 跑进了生产。多数企业的 agent 卡在内部试点或概念验证，出不来。根因不是模型不够好，而是 agent 交付缺一套像软件交付那样的门禁——它非确定性、不可复现、还会自己扩大攻击面。Harness 这家做软件交付平台的公司，今年连着两场发布都在补这件事：先是 Autonomous Worker Agents，后是覆盖 agent 完整生命周期的 Agent DLC。这篇把"agent 交付门禁"到底卡哪些环节讲清楚。
为什么 agent 需要门禁
传统软件可预测：代码是确定性的，同样的测试跑同样的结果。agent 不是：底层模型决定怎么完成任务，同一个 agent、同一个输入，两次运行可能选不同的工具、走不同的路。测试过了一次不代表下次还过，事故不可按需复现，标准的排障 playbook 直接失效。更糟的是 agent 会自己扩大攻击面——连工具、连 API、生成子 agent、继承它碰过的每个模型的信任。静态扫描从来不是为这种风险设计的。所以"能跑"离"能上线"之间，差的是一整套约束。
六道门禁
Harness 给 Autonomous Worker Agents 定的控制，正好是一套可复用的门禁清单。
| 门禁 | 卡什么 |
|---|---|
| 沙箱化 | agent 跑在隔离容器，受限文件与网络访问 |
| 凭证隔离 | 每个 agent 有自己的身份和权限，只能做权限允许的事 |
| 策略执行 | 约束人类的策略同样约束 agent，可禁止非授权模型 |
| 审计留痕 | 每个动作记录在独立 AI 身份下，谁触发、做了什么、结果如何 |
| 成本追踪 | token 消耗按 agent、按 pipeline 呈现 |
| 编排链 | agent 组合成多步工作流，输出传给下一个 |
两条尤其关键。凭证隔离的意思是 agent 的权限是它自己的身份，不是触发它的人的——不管谁触发、prompt 里写什么，它都只能做权限允许的动作。审计留痕的意思是每个 agent 动作有独立身份和完整 provenance，出事能回溯到"谁触发的、它干了什么、结果如何"。agent 调用 LLM 时，prompt 和上下文还要过一道 LLM Gateway 验证策略。这六条合起来，是把"信任 agent"从一句口号变成了可以核对的机制。
Agent DLC：把门禁延伸到全生命周期
六道门禁解决"运行时怎么管"，Agent DLC 解决"怎么把 agent 像软件一样交付"。这波加的能力里，最值得关注的是几个：AI Evals 让 agent 质量可度量——定义评测集、接打分函数、设质量门，agent 或模型一变就自动抓回归；Agent Deployments 把金丝雀、审批、OPA guardrail 延伸到托管 agent runtime；AI Asset Catalog 自动发现每个 agent、skill、plugin 并挂 owner；AgentTrace 记录单次运行和跨多步 session 的路径。Harness 还把 AgentTrace 的底层组件开源（harness-sdk、harness-evals）。
关键事实
| 项目 | 内容 |
|---|---|
| agentic AI 生产化率 | 仅 8%（Gartner） |
| 门禁六件套 | 沙箱、凭证、策略、审计、成本、编排 |
| LLM 调用 | 过 LLM Gateway 验证策略 |
| Agent DLC 新能力 | Evals、Deployments、Configs、Catalog、Trace |
| 安全侧 | AIBOM、Primitive Scanning、AI Testing |
对团队意味着什么
三个信号。一是"agent 文件格式"正在标准化——一个 agent 定义存成一个文件、commit 进仓库即上线，这和基础设施即代码是同一个思路。二是 agent 交付正在复刻软件交付过去十年走过的路：治理、编排、安全、测试，全部照搬到 agent 上。三是最本质的一点——门禁的顺序不能乱：先有留痕、再有评测、再有阻断、最后灰度，每道门独立回答一个问题：出了事查得到吗、改了更差吗、越权拦得住吗。把门禁做成"事后补作业"，团队只会绕开它。
待观察
两点。一是这套门禁是 Harness 平台的实现，不是行业标准，别的框架各自为政，跨平台的一致门禁还没形成。二是"8% 生产化率"是 Gartner 给的一个时点数据，agent 交付工程化的成熟度曲线怎么走，还得看接下来一年。方向是清楚的：agent 从"能跑"到"敢上线"，靠的不是更大的模型，而是门禁。