11 月 3 日，苹果在 2026 财年年度报告（10-K）里新增了一条风险因素。措辞罕见地具体：

「特别是，人工智能代理和其他技术可以自主采取行动，包括与内部或外部系统进行交互（在某些情况下，它们可能没有被授权访问这些系统）、执行或更改代码、发送通信以及完成交易。」

智能体「可能会以意想不到或不可预测的方式行事，包括采取未经指示、指导或授权的行动」。

文件还点出后果：部分行为——比如删除数据或完成交易——可能难以甚至无法撤销；苹果对第三方 AI 智能体及相关技术的「监督和控制能力可能有限」；同时 AI 与「超级智能」的监管法规瞬息万变，适应新法可能需要大量成本。

这不是公关辞令，是法律责任的分界线

10-K 的风险因素有一个特殊性质：它是公司在法律上正式承认「我知道这里可能有雷」。写进去，意味着如果未来真出现 agent 越权导致的诉讼，苹果可以说自己早已披露；不写，则可能被指隐瞒重大风险。

所以这条披露的实质含义是：苹果已经判断，agent 带来的诉讼与声誉风险，达到了需要在年报里向股东明示的量级。 这不是技术判断，是财务与法务判断。

三个月内的四步棋

如果把苹果近期动作串起来看，会发现一条清晰的收紧线：

1. 10 月，调整 Mac 上的「完全磁盘访问权限」（Full Disk Access），专门降低 PC 上安装的 AI 智能体「与此类访问权限相关的风险」。这等于在操作系统层重新给 agent 定性——它不是普通应用。
2. 本周，10-K 新增 rogue agent 风险因素。
3. 财报电话会上，新任 CEO 约翰·特努斯被问到 agent 时表态：「就智能体能力而言，我们认为这些对用户来说是很有前景的工具。我们只是想确保用户清楚他们授予了哪些访问权限。我们希望确保这种授予方式能够保护安全和隐私。」
4. 同期，iOS 27.3 首个开发者测试版开始向第三方 App 开放 Siri AI 能力（App Intents + app skills 组合动作），国行 Apple 智能接入千问。

一边收紧权限，一边开放入口——这两件事并不矛盾。苹果在做的，是把 agent 能力收进自己能管控的那一层，同时把不受管控的那一层明确标成风险。

「授权方式」成了产品设计问题

特努斯那句「确保用户清楚他们授予了哪些访问权限」值得细读。目前商用 agent 为了功能可用，普遍要求用户账户（如邮箱）的高级别访问权限——OpenAI 的 Dots、Meta 的 Muse 都是这个路子。苹果的反差牌是：秋季发布的 Siri AI 使用 iPhone 的本地数据存储来访问日历和邮件，苹果自己拿不到设备上的私人数据，特努斯把这称为苹果的「核心差异化优势」。

代价也很清楚：Siri 无法像 Dots 或 Muse 那样长时间自主工作。苹果选的是「少一点自主性，换一层数据主权」。

值得关注的三点

第一，风险披露会成为行业风向标。 苹果是市值最高的上市公司之一，它的 10-K 措辞通常会被同行法务部门拿去对标。当「agent 可能越权、后果不可撤销、平台管控能力有限」成为标准披露项，其他大厂的年报大概率会跟进。这会反过来推动内部治理预算。

第二，平台方同时是宿主、受害者和守门人。 苹果没有自己的通用 agent，但 App Store、macOS 权限、Siri 入口都在它手里。它既要让第三方 agent 能跑（生态价值），又要防止它们在自家设备上闯祸（法律风险）。10-K 这条披露，是给这个矛盾留的法律缓冲垫。

第三，对做 agent 的团队，这是一份免费的合规清单。 苹果列的四类危险动作——访问未授权系统、执行或更改代码、发送通信、完成交易——恰好是企业 agent 上线前应该逐个评估的四个面。尤其「不可撤销」这个维度：删数据、付款、发消息，这三类操作在架构上就该默认走人工确认，而不是靠提示词约束。

顺带说，风险因素里还提到 AI 相关的「道德问题与消费者负面看法」。这句话在 10-K 里出现，意味着负面舆情也被计入了财务风险——这在几年前是难以想象的。