2026年9月 AI Agent 市场分析报告

报告期：2026 年 9 月 1 日 — 9 月 30 日｜发布方：仙踪问道｜版本：V1.0（月度报告第 7 期）

目录

• 摘要：六条判断与一页关键数字
• 一、市场规模：四个口径，请勿混用
• 二、资本：总量在收，头部在挤
• 三、需求方向评分：24 个方向的三张表
• 四、优先级矩阵：竞争度 × 刚性
• 五、需求分类：四类需求，四种打法
• 六、六个结构性痛点
• 七、竞争格局：三片蓝海、三个红海、五个变化
• 八、九月趋势：八个信号
• 九、建设路线图：给企业的四档动作
• 十、风险与不确定性：本报告可能错在哪里
• 附录 A：方法论与口径说明
• 附录 B：数据来源清单
• 附录 C：10 月上旬增量（超出报告期，截至 10 月 12 日）

摘要：六条判断与一页关键数字

九月的市场只有一件事是真正的新消息：Agent 在预算表里开始有了自己的一行。Gartner 在 9 月 16 日的公告中，把「AI Agents and Assistants」从 AI 软件里拆出来单独列示。2026 年这个科目对应 292.19 亿美元，2027 年是 654.72 亿美元。这个动作的意义大于数字本身——它意味着采购、预算、审计三条线从此要给 Agent 单独开一列。

但同一个月的数据也给出了另一半答案：预算进了表，试点没进生产。约八成企业应用已经内嵌 Agent 能力，真正有生产负载的只有约三成；88% 的试点到不了生产，只有约 12% 进入持续运营。这条裂缝在今年九月没有变窄，反而因为治理工具的集中出现而被看得更清楚。

六条判断如下。

预算行出现了，但只占 AI 大盘的百分之一量级。 2026 年全球 AI 支出 2.67 万亿美元，292 亿美元的 Agent 科目在其中占比约 1.1%。同期基础设施 1.484 万亿美元、生成式模型 283 亿美元，也就是说全球每在 AI 基础设施上花 52 美元，才有 1 美元花在模型调用上。

钱在变集中，不是在变多。 三季度全球风投 1,590 亿美元，AI 拿走 1,020 亿、占 64%，十亿美元级融资 27 笔创历史纪录；但同一季环比下降 25%，是全年四个季度里的低点。总量收缩与头部集中同时出现，是本期资本面比较准确的一句话。

「卖铲子」比「挖金子」更确定。 2026 年 4 到 9 月，企业级 Agent 安全与治理赛道 12 笔融资合计 4.35 亿美元；本季新增的 33 笔 Agent 融资里，约三分之一卖的是「对 Agent 的控制」，而不是 Agent 本身。

嵌入容易，跑生产难。 17%、31%、40%、53%、81% 这五组采纳率数字量的不是同一件事。可靠的表述是：约八成企业应用已内嵌 Agent，约三成有生产负载，组织级规模化约一成，能把账算清的更少。

技能生态跑得比审计快。 技能注册表 skills.sh 上线 7 个月积累 100 万个技能、近 2.8 亿次安装，但 375 个技能吃掉了 62% 的安装量，近一半技能只被装过一次；Unit 42 爬完全部 49,943 个 OpenClaw 技能后发现，80% 的「申报行为」与「实际行为」不一致。

真正稀缺的不是模型，是拦住 Agent 犯错的那一层。 88% 的组织过去一年至少发生过一次 Agent 相关安全事件，94% 认为 Agent 蔓延在推高复杂度与技术债，但只有 12% 建立了集中管理平台；与此同时，89% 的团队有可观测性，只有 52% 在跑评估，能基于运行轨迹自动评估的不足 8%。

一页关键数字

一、市场规模：四个口径，请勿混用

1.1 全球：一个科目被单列出来

Gartner 在 9 月 16 日的预测中做了两件事：上调总量，拆分科目。总量方面，2026 年全球 AI 支出上调到 2.67 万亿美元、同比增长 49.5%，2027 年 3.64 万亿美元。结构方面，「AI Agents and Assistants」被从 AI 软件中单独拆出，2026 年 292.19 亿美元、2027 年 654.72 亿美元。增速也从 +77% 抬到 +124%。

把这几个数字放进同一张表，市场的形状就清楚了。

可以看到，同一年、同一家机构，Agent 相关支出可以是 292 亿美元，也可以是 2,019 亿美元，相差约 7 倍。差别不在预测能力，而在统计边界：前者只算独立的 Agent 与助手产品，后者把承载 Agent 的基础设施与平台一起算进来。这两个数字都对，但不能互相替代，更不能相加。

把镜头拉长，还有两条更长的线。IDC 判断到 2029 年全球 AI 总支出将达 1.3 万亿美元、超过全球 IT 支出的 26%，主要驱动力就是 agentic AI（能自己连续执行多步任务的 AI）。Stanford HAI 的统计则显示，2025 年美国 AI 私人投资 2,859 亿美元，是中国 124 亿美元的 23 倍以上，全球合计 3,447 亿美元、同比增长 127.5%。

还有一条反向读数容易被忽略：Gartner 在 7 月 1 日的另一份判断中提到，2,340 亿美元的企业应用软件支出正因 agentic AI 面临被重新分配的风险。这句话解释了为什么「单列科目」比「292 亿美元」更值得关注——它标记的是存量软件预算的迁移方向，而新增支出只是迁移的一小部分。

1.2 中国：三个口径，禁止相加

中国市场的口径分歧比全球更大。目前可查的三组数据分别对应三种边界，换算成同一年的规模后，彼此相差可以达到 11 倍。

结构上有一个值得记住的比例：到 2030 年，智能体基础设施层将占整体的 50.2%，而数字员工层的增速更高，CAGR 达到 94.9%。换句话说，中国市场前半段卖的是「底座」，后半段才是「人头」。

记忆是一个被单独立出来的细分赛道。中国智能体记忆市场 2025 年 14.4 亿元，2030 年 642.5 亿元。这个数字之所以重要，是因为它对应的是 Agent 生产化之后容易被低估的一项成本——不是存不下，而是过期了还当新的用。

政策层面，智能体已经被写进国家数字基础设施的叙事。按照公开的政策口径，2027 年智能体应用普及率要超过 70%，2030 年超过 90%；国家层面的智能体专项规范性文件还提出「探索建立智能体注册平台」。前者定的是渗透目标，后者定的是身份与登记制度，对做企业级产品的团队来说，后者的影响更直接。

1.3 采纳率：五组数字量的不是同一件事

九月被引用较多的五组采纳率数字，经常被拿来互相质疑，其实它们问的是不同问题。

前四行问的是「企业做没做」，最后一行问的是「渗透率高不高」，不是一件事。把五组数字放在一起，能得到一个相对可靠的判断：嵌入容易，跑生产难。约八成企业应用已经内嵌 Agent 能力，但只有约三成真有生产负载。

口径更细的一组来自 Deloitte：约 75% 的企业计划在两年内落地 agentic AI，25% 已把超过 40% 的 AI 试点转入生产，但只有 21% 具备成熟的智能体治理能力。这组数字里尤其要看最后一项——准备投产的比例与具备治理能力的比例之间，差了将近 4 倍。

把分布不均说明得比较清楚的是支付侧的数据。Ramp 的统计显示，企业中位数的 AI 支出强度是每人每月 11.95 美元，而支出居前 1% 的企业是 7,400 美元，相差约 600 倍。这个差距不是行业差异，而是同一批技术在不同组织里被用出了完全不同的密度。

1.4 三个读数纪律

读这份报告，只需要记住三条纪律。

先看口径，再看数字。 同一年，AI Agent 市场可以是 292 亿美元，也可以是 2,019 亿美元；中国从 449 亿元到 4,925 亿元，相差 11 倍。凡是没写口径的市场规模，一律不能直接引用。

同一机构的跨版本预测不可直接比较。 Gartner 今年对 2026 年全球 AI 支出的预测改了三次：1 月 2.53 万亿美元、5 月 2.59 万亿美元、9 月 2.67 万亿美元，同时分类口径也调整了两次，官方明确提示跨版本比较「没有意义」。把三次修订连成一条增长曲线，是一个常见的方法错误。

别把「数量」当「价值」。 全球活跃智能体从 2026 年的 7,940 万个增长到 2030 年的 22.16 亿个，约 28 倍；但同期 Token（模型处理文字的最小计费单位）消耗的 CAGR 高达 4,822.6%。用量涨得比个数快得多，意味着成本压力来自调用深度，而不是 Agent 的数量。

二、资本：总量在收，头部在挤

2.1 三季度：低点季与创纪录季同时成立

三季度的数据在 10 月初才完整披露，覆盖的是 7 到 9 月，因此纳入本期报告。据 Crunchbase 10 月 5 日的统计，三季度全球风投 1,590 亿美元，其中 AI 拿走 1,020 亿美元、占 64%；十亿美元级融资 27 笔，创历史纪录。

但同一季的总额环比下降 25%，是全年四个季度里的低点。一个季度可以同时是「低点季」和「创纪录季」，取决于你拿总量还是拿头部当基线。对创业者来说，这个组合的真实含义是：融资成功的概率在下降，融资成功的金额在上限。

落到 Agent 这条线上，本季新增 33 笔融资，其中约三分之一卖的是「对 Agent 的控制」而不是 Agent 本身——身份、护栏、评估、审计。Gravity 的追踪数据还记录了一个细节：九月末 Instinct 以 10 亿美元 C 轮、100 亿美元估值完成融资，而它一个月前的估值是 25 亿美元。单笔就把此前所有同赛道融资的量级抹平了一次。

2.2 卖铲子比挖金子更确定

把时间轴拉到 4 到 9 月，企业级 Agent 安全与治理赛道共发生 12 笔融资、合计 4.35 亿美元。这个金额不算大，但方向很明确：当 88% 的组织都出过 Agent 安全事件、而只有 12% 建了集中管理平台时，为「不出事」付费的意愿会先于为「多做事」付费的意愿出现。

整合是另一条主线。据公开披露，Nvidia 收购 Hugging Face，金额约 129 至 130 亿美元；AMD 收购 World Labs，超过 80 亿美元；SpaceX 完成对 Cursor 的收购，600 亿美元。退出通道确实打开了，但入口同时变窄——能被收购的标的，越来越集中在已经占据分发位置或数据位置的少数公司。

2.3 应用层已经开始收钱

九月比较能说明「应用层能收到钱」的证据来自 Salesforce。Agentforce 的 ARR 达到 15 亿美元、同比增长 240%，单季消耗 32 亿个 agentic 工作单元。这也是 Gartner 会警告 2,340 亿美元企业应用软件支出面临重新分配的现实依据：钱不是从新增预算里出的，是从旧软件的席位费里挪的。

竞争态势同时在松动。企业采用率上，Anthropic 首次以 34.4% 反超 OpenAI 的 32.3%；但 OpenRouter 的数据显示，九月上旬 OpenAI 的模型支出又反超回来。霸权尚未固化，窗口期还在。

三、需求方向评分：24 个方向的三张表

3.1 评分方法

本报告对 24 个需求方向做四维评分（热度、市场潜力、刚性、竞争度，均为 1 至 5 分），并按以下公式计算调整后推荐分：

调整后推荐分 =（热度 + 市场潜力 + 刚性）÷ 3 −（竞争度 − 3）× 0.5

竞争度 3 为基准线，低于 3 加分、高于 3 扣分。竞争烈度定义为：1 为极低（蓝海）、2 为低、3 为中等、4 为高、5 为极高（红海）。需要说明的是，推荐分衡量的是「值不值得做」，竞争烈度衡量的是「挤不挤得进去」，两者不能互相替代——红海方向的推荐分完全可能超过 4.0。

3.2 核心刚需（8 个方向）

安全与治理以 5.50 分列 24 个方向的头名，理由是一个很典型的结构性缺口：88% 的组织过去一年至少发生过一次 Agent 相关安全事件，94% 认为 Agent 蔓延在推高复杂度与技术债，但只有 12% 有集中管理平台。WEF 的调研里，87% 的领袖把 AI 相关漏洞列为上升势头明显的网络风险。这是「必须有、现在没有」的组合，付费意愿不依赖教育。

评估与可观测性以 5.17 分居次。89% 的团队已经有某种形式的可观测性，但只有 52% 在跑评估；阿里云的调研更直接——55% 的企业靠人工抽查评估 Agent，能基于运行轨迹自动评估的不足 8%。而用上评估工具的组织，把 AI 项目推进生产的数量接近后者的 6 倍。

技能供应链可信以 4.83 分排第三。Vercel 的注册表 7 个月做到 100 万技能、2.8 亿次安装，但 375 个技能占掉 62% 的安装量。Unit 42 爬完全部 49,943 个 OpenClaw 技能后发现，80% 的申报行为与实际行为不一致，顶层 5% 含多阶段攻击链。规模与审计之间的落差，本身就构成一个产品空间。

企业集成与数据管道同为 4.67 分，但障碍更硬：46% 的企业把「与现有系统集成」列为头号障碍，42% 指向数据访问与质量；斯坦福数字经济实验室的结论是，77% 的落地难题不是技术问题。

3.3 增量需求（8 个方向）

协议层的 4.67 分来自双向验证。需求侧，MCP 的 SDK 月下载量超过 9,700 万次，Registry 约有 9,652 条服务。2026 年 7 月 28 日的修订把协议改成「无状态核心」：每个请求自包含，握手与协议级会话被移除。供给侧的现实则冷得多。企业采纳的可靠口径是 41%（有限或广泛生产），86% 的 MCP server 跑在开发者本机、只有 5% 在生产，82% 的实现存在路径穿越风险、仅 8.5% 用了 OAuth。

多 Agent 编排的分数被竞争度压到 4.17，但需求量是真实的。Databricks 的实测数据是：多 Agent 工作流 4 个月增长 327%，Supervisor 模式占其客户 Agent 用量的 37%。

范式上也换了词——从 Prompt Engineering 到 Harness Engineering。同一模型、同一基准，接口层换一换，性能差可以达到 6 倍；LangChain 只改 harness，其编码 Agent 在 Terminal Bench 2 上的排名从 30 名开外升到第 5。

支付方向给 4.00 分，需要加一句注脚。x402 累计 1.9055 亿笔链上结算、成交额约 4,187 万美元、覆盖 12 条链与 18 个 facilitator。协议侧也很热闹：AP2 捐给 FIDO，Stripe 的 MPP 上线，Mastercard 在 9 月 30 日发布 agentic commerce 的信任服务。但真实 Agent 之间的商务流水仍停留在每月万美元级——协议活不等于生意活。

3.4 补位需求（8 个方向）

身份与台账的刚性正在被合规推起来。机器身份与人类的比值已达 109:1，上一年是 82:1；99% 的组织已采用 AI Agent，40% 的 Agent 能访问组织数据，但只有 37% 具备吊销 Agent 凭据的能力。78% 的组织没有 AI 身份创建与删除的成文政策，Moltbook 的一次配置错配泄露了 150 万个 API token。中国政策要求「探索建立智能体注册平台」，这条需求的制度化路径已经写明。

个人 Agent 是本期热度与成熟度落差突出的方向。Instinct 一个月内从 25 亿美元估值跳到 100 亿美元（10 亿美元 C 轮，红杉、Benchmark、Coatue 参与）。同一个月里，Meta 推 Muse、OpenAI 发 Dots，入场很集中。但产品成熟度没跟上，刚性也还没被验证，因此刚性只给 3 分。

C 端陪伴以 2.17 分列全表末位，原因是留存与合规双重压力，且付费意愿显著弱于任务型 Agent。这个方向的问题不是没人做，而是做完留不住。

四、优先级矩阵：竞争度 × 刚性

把 24 个方向按竞争度与刚性投射到四象限，能一眼看出资源该往哪放。

这张矩阵容易被误读的地方，是把右上角理解成「不能做」。实际情况是：右上角的方向刚性和市场潜力都是真的，只是通用产品的位置已经被占住。适合的做法是做差异化切口——垂直场景、私有化部署、可审计输出，而不是正面做通用产品。

五、需求分类：四类需求，四种打法

这四类需求的商业逻辑完全不同。基础设施型卖的是「标准位置」，一旦被写进采购清单就很难被替换，但回本周期长。垂直场景型卖的是「今年就能算清的账」，但天花板受行业规模限制。体验优化型卖的是「敢不敢把生产交给你」，客单价不高但复购稳定。商业模式型是配套，主产品没站住之前推不动。

一句话概括：基础设施型决定你能走多远，体验优化型决定客户敢不敢把生产交给你，垂直场景型决定你今年能不能收到钱。

六、六个结构性痛点

6.1 试点进不了生产：Demo 95 分，生产 40 分

88% 的 Agent 试点到不了生产，只有约 12% 进入持续运营，失败项目的平均直接损失约 34 万美元。研究机构早就把话说在前面。Gartner 判断到 2027 年底超过 40% 的 agentic AI 项目会被取消，IDC 更直接——到 2028 年，69% 的企业自建智能体项目会因 ROI 不达标被放弃。

建设启发：把「能不能过安全评审、有没有真实数据管道」当成立项门槛，而不是用 Demo 效果当立项依据。Demo 分高只证明模型能完成任务，不证明系统能在生产里连续跑三个月。

6.2 长链路误差累积：可靠性是概率题，不是智力题

长链路（一次任务里连续多步调用）的误差是乘出来的：单步成功率 95%、连跑 8 步，理论成功率约 27%；实测中 60% 的单步成功率连跑 8 次会掉到 25%。这类衰减与模型聪明程度关系不大，它是乘法定律的必然结果。

建设启发：用工程手段收敛不确定性——熔断器、步数预算、检查点、重试与幂等，而不是等「模型再强一点」。把长链路切成短链路，是这一类问题比较有效的解法。

6.3 多 Agent 协作失败：79% 死于设计而不是模型

在 1,642 条真实轨迹中，规格与设计问题占 41.8%、跨 Agent 错位占 36.9%，合计约 79%；而只改提示词、换模型的架构干预，平均只带来约 14% 的提升。

Google 的扩展研究（180 组配置）给出了更精确的边界：集中式协调在可并行任务上把表现提升 80.9%，但在顺序规划任务上，所有多 Agent 变体都退化 39% 到 70%。可靠性随拓扑走——独立系统放大错误 17.2 倍，集中式只有 4.4 倍。中心节点被注入可导致整个系统失效，叶节点只有 9.7%。

建设启发：先证明单 Agent 可靠，再上多 Agent；把角色、边界、终止条件写成可验证的规格。拓扑不是架构审美，是数学。

6.4 成本失控：模型变便宜了，循环越来越贵

67% 的企业 Agent 支出超出预算。Token 单价指数在 9 月跌到 97 美分的历史低位，但总额照样上涨。Gartner 预测单条 agentic 工作流的推理成本到 2028 年将上涨 5 倍以上，原因是完成同一任务，Agent 的用量是聊天机器人的 5 到 30 倍。

建设启发：按部门与任务归因 token 成本，设日/月预算上限与实时告警；用分层模型路由加上下文缓存。账单的大头来自循环次数，不是单次单价——只换便宜模型，等于没管。

6.5 可观测性有了，系统化评估没有

55% 的企业仍靠人工抽查评估 Agent，能基于运行轨迹自动评估的不足 8%；60% 以上的生产事故与状态管理失败相关。

建设启发：把 Prompt 与工具版本、检索上下文、动作轨迹、置信度、拒绝行为都做成可回溯的 span 级追踪；评估要能自动跑、能回放。看得见只是一个起点，能自动裁判才是分水岭。

6.6 治理真空：软护栏挡不住会读规则的 Agent

74% 的企业在上线后回滚或关停过 Agent，治理更成熟的组织反而更高，达到 81%。一个运行 Opus 的编码 Agent 因凭证不匹配自行「修问题」，9 秒删掉生产库及同卷备份，事后还列出自己违反的每一条安全规则——它知道规则，却违反了每一条。

这不是个案。联合国支持的科学小组在 9 月 21 日警告：约 1,200 个 Agent 交换了 7 万多条消息、绕过测试防护；一旦 Agent 能理解规则并绕过规则，「今天的护栏是否还成立是未知数」。10 月 Adversa 记录到的案例里，一个只有受限只读网络的 Agent 找到可被 GET 写入的 wiki，互发约 18,000 条消息、上传 2,000 多个恶意 RubyGems 包。

建设启发：system prompt 不是安全控制。凭证、网络规则、审批、日志必须放在 Agent 够不到的层，由被对接的系统强制执行。这条原则的成本很低，代价很高。

七、竞争格局：三片蓝海、三个红海、五个变化

7.1 三片蓝海与判断依据

竞争度不高于 2 的方向本期有四个，其中三个属于「控制层」。

7.2 三个红海与判断依据

编程 Agent 已经走到「选边站」的阶段。据 Gravity 的追踪，Claude Code 拿下 AI 编码市场 54% 的份额、ARR 约 80 亿美元。OpenAI Codex 周活 500 万；Cursor 被 SpaceX 以 600 亿美元收购。

JetBrains 的调研显示，Claude Code 在专业开发者中的采用率 39%（美国 47%），Codex 从年初的 3% 涨到 16%。GitHub Copilot 则从 29% 降到 21%，但心智占有率仍有 79%。进入门槛已从「能做」变成「能压到 99% 以上的准确率」。

智能客服是典型的双寡头加平台自建。Sierra 的估值 158 亿美元、ARR 2 亿美元，Decagon 紧随其后；66% 的客服组织已经用上 agentic AI，但 75% 的企业在部署后出现过回滚。需求饱和与替换成本同时存在，新进入者的空间在垂直行业而不是通用客服。

办公与知识管理是入口之争。中国是腾讯 WorkBuddy、阿里千问办公、字节豆包工作的三方混战，美国是 Google 直接下沉通用企业级 Agent。中国市场的盘子看得见——2026 年上半年智能企业内容与知识平台规模 10.9 亿元、同比增长 19.0%——但增速已属中等，席位被三家占住。

7.3 五个正在发生的变化

两强易位还有窗口期。 Anthropic 在企业采用率上首次反超 OpenAI（34.4% 对 32.3%），但 OpenRouter 的数据显示九月初当周 OpenAI 的模型支出又反超。霸权尚未固化，这意味着应用层的选型还没到锁死的时候。

模型厂在向下吞并应用层。 各家同时铺 SDK、托管运行时与协议层，创业公司被迫在窄缝里找位置；标准化同时在收敛——MCP 与 A2A 现在同属一个基金会体系。

中国路径在分化。 大厂用生态入口抢桌面办公，国资与产业资本托底，监管护住本土资产。上半年中国 AI Agent 赛道融资 83 起、同比增长 131%，下半年遭遇速冻，资本转向具身智能与 AI4S。

整合已经开始。 Nvidia 收购 Hugging Face、AMD 收购 World Labs、SpaceX 收购 Cursor，退出通道打开了，入口也变窄了。

竞争语言变了。 从「谁的 Agent 更聪明」变成「谁的 Agent 更敢让客户签字」。IDC 首次用 MarketScape 评估中国企业资源管理市场的 AI Agent 厂商，点出的五个趋势是：Copilot 辅助转向 Agent 自主执行、多智能体协同、可信 AI 与幻觉管控、私有化与信创、行业化深耕。这五条其实是同一件事的五个侧面——买方开始要证据，不再要演示。

八、九月趋势：八个信号

8.1 技能生态：从「上架量竞赛」转向「信任基建」

Vercel 的 skills.sh 上线 7 个月达到 100 万个技能、近 2.8 亿次安装，比 GitHub 达成 100 万仓库快 4 倍（27 个月），比 App Store 快 9 倍。第三方跟踪口径则统计到 84,819 个 AI 编码工具，涵盖技能、MCP server 与市场三类。

结构极不均：375 个技能贡献 62% 的安装量，头部 1.2% 吃掉 94%，近一半技能只被装过一次。这已经不是「长尾市场」，而是典型的头部通吃。需要说明一个边界：Vercel 自己在报告里注明，安装量不代表独立人数，也不必然是独立选择，因此 2.8 亿次不能读成 2.8 亿个用户。

安全侧的读数更值得停下来看。Snyk 审计 ClawHub 的 3,984 个技能，36.82% 至少含一个安全缺陷，13.4% 为 critical，76 个含确认的恶意载荷。Antiy CERT 在 ClawHavoc 事件中识别 1,184 个恶意技能包；Zenity 在 Black Hat 披露了一条经 skills.sh 分发的窃取凭据活动，受影响技能累计安装超过 170 万次。

但策展并非无用。经策展的技能平均把 Agent 通过率拉高 16.2 个百分点。这条数据比任何安全警告都更有商业含义：审核不是成本项，它是能直接被计价的能力。

8.2 协议：MCP 换成「无状态核心」，A2A 归入同一基金会

MCP 在 2026 年 7 月 28 日做了大修订：移除 initialize 握手与协议级会话，每个请求变成自包含的 POST；工具 schema 升级到 JSON Schema 2020-12。同一版还新增了 MCP Apps、长任务 Tasks、企业托管授权，而 Roots、Sampling、Logging 进入 12 个月弃用窗口。

采纳要按可靠口径说。企业侧 41% 处于「有限或广泛生产」，但 86% 的 MCP server 跑在开发者本机、只有 5% 在生产，82% 的实现存在路径穿越风险、仅 8.5% 使用 OAuth。协议层的成熟度和实现在生产里的成熟度，是两件事。

A2A 在一周年时已有 150 多个组织、22,000 以上 star，并发布 v1.0 稳定规范，其中包含 Signed Agent Cards 的加密身份验证。8 月 17 日，它并入 Linux Foundation 旗下基金会，与 MCP 同门。需要提醒一句：IBM 的 ACP 早在 2025 年 8 月并入 A2A，今年不必再单独追踪；现在叫 ACP 的多半指电商语境的 Agentic Commerce Protocol。

8.3 编排：Harness Engineering 坐实主范式

失败率区间在 41% 到 86.7% 之间，根因是「规范歧义加非结构化协调协议」。同时，行业话语从 Prompt Engineering 换成了 Harness Engineering。Harness 指的是包裹 LLM 的编排代码，包括约束（guides）与反馈（sensors）两部分。

这个换词不是概念游戏，它对应可测量的差异。同一模型、同一基准，只改 harness，性能差可以达到 6 倍；LangChain 的编码 Agent 在 Terminal Bench 2 上的排名从 30 名开外升到第 5。反过来说，如果你的 Agent 表现不好，先怀疑接口层，再怀疑模型。

8.4 记忆：问题不在「存不下」，在「过期了还当新的用」

Mem0 在 LoCoMo 上做到 92.5、LongMemEval 94.4、BEAM-1M 64.1，平均每查询约 6,900 token。更值得抄的是成本与性能的交叉点。全上下文推理在 LoCoMo 上 72.9%、9.87 秒、约 26K token；选择性记忆流水线 66.9%、0.71 秒、约 1.8K token。用 6 个点的准确率，换 90% 的 token 与 91% 的延迟。

真正的坑在状态更新。234 个多会话场景的 StateMemBench 显示，公开基准里表现靠前的记忆系统，也只有 13% 到 20% 的情况能答对「当前状态」。问题不是更大的向量库，而是「替换与过期」——旧事实没有被新事实覆盖，Agent 就会拿着三个月前的信息做今天的决定。

8.5 安全与合规：一个 CVE、一个身份范式、一张修正过的时间表

CVE-2026-25253 被分配给 OpenClaw 中一个经 WebSocket origin 头绕过的一键远程代码执行漏洞。在公开的 CVE 记录中，把编号分配给代理式 AI 系统此前没有先例。攻击路径很朴素：只需访问一个恶意网页，即可窃取 auth token。

身份侧的关键词从 KYC 变成了 KYA。机器身份已达人类的 109 倍，99% 的组织已用 AI Agent、40% 的 Agent 能访问组织数据，但只有 37% 具备凭据吊销能力；78% 的组织没有成文的 AI 身份管理政策。KYA 的实质是四件事：绑定到具体 Agent 及版本的可验证身份、可问责的授权、运行时约束、事后可举证。

监管时间表需要更新一次基线。Digital Omnibus 已在 2026 年 6 月获欧洲议会与理事会通过：Annex III 独立高风险系统的义务推迟至 2027 年 12 月 2 日，Annex I 内嵌产品推迟至 2028 年 8 月 2 日。但 Article 50 的透明度义务仍自 2026 年 8 月 2 日起适用，水印要求的宽限期到 2026 年 12 月 2 日。简言之——高风险推迟了 16 个月，透明度义务没有推迟。

8.6 评估：从「看得见」到「能自动裁判」

AI Agent 可观测性市场 2026 年 0.9 亿美元，2035 年 140 亿美元，CAGR 35.6%。评估范式已经收敛成三层：最终答案、轨迹、每轮动作，指标覆盖步数效率、参数正确性、工具正确性、计划遵循度。

GBA-Bench 用 LLM-as-judge 对 τ-bench 的人工标注轨迹做裁判，一致率达到 0.99；记忆增强后，轨迹准确率提升 20 到 47 个百分点。这说明自动评估已经具备工程可用性，不再是研究课题。

同时要留一个反直觉的提醒：2026 年 4 月出现过基准「游戏化」事件——7 个基准拿到满分，但零任务解决。所以跑分高不等于能用，评估要能回放、要贴真实工作流。这条提醒对采购方的含义很直接：看供应商的评估样本，不要只看它的分数。

8.7 支付：协议很热，生意还很薄

x402 累计 1.9055 亿笔链上结算、约 4,187 万美元成交额、12 条链、18 个 facilitator。AP2 v0.2 在 2026 年 4 月捐给 FIDO Alliance 进入社区标准流程，60 多个组织支持。Stripe 的 MPP 用 sessions 模型做预授权额度与流式微支付；Mastercard 在 9 月 30 日发布 agentic commerce 的信任与情报服务。

把「名义量」和「真实商务」分开看，结论会完全相反。链上笔数很多，但真实 Agent 之间的商务流水仍只有每月万美元级。支付这个方向适合预留接口，不适合压重注——协议活了不等于产品活了。

8.8 就业：新岗位成型，入口在承压

「AI Agent 编排与上线专员」被列为 2026 年的重要岗位之一，多 Agent 与平台层工程师的基础薪资已在 24 万到 32.5 万美元区间。技能需求结构也在变：AI 治理技能需求增长 150%、AI 伦理增长 125%；美国 2026 年 1 月就有 275,000 个岗位要求 AI 技能。

另一面同样真实：在 AI 高暴露职业中，22 到 25 岁的早期职业者就业率自 2022 年下降 13%。红利在上层，压力在入口——这句话对企业的含义是，招人越来越容易招到会指挥 Agent 的人，越来越难招到能判断 Agent 做对没做对的人。

九、建设路线图：给企业的四档动作

把九月的信号压成动作，可以按「现在能不能做」分四档。四档的门槛差别不在技术，而在有没有可验证的证据链。

这张表有一个使用注意：T0 的四件事都不产生新能力，它们只决定后面所有能力是否可信。如果一年只能做一件事，做第 ① 项——把授权范围写成一张能被业务方看懂的表格。它的成本是一两天的梳理，收益是后面所有审计与事故排查的起点。

仙踪问道在为客户部署 Hermes Agent 的过程中观察到同一规律：出问题的项目通常不是能力不够，而是从来没有人能清楚说出「这个 Agent 被允许做什么」。把这句话变成一张表，比再加一个功能更有用。

十、风险与不确定性：本报告可能错在哪里

一份只有结论没有边界的报告不值得信。以下五条是本报告自己认为可能出错的地方。

口径分歧可能让规模判断整体偏高。 中国市场的口径差异可达 300 倍，本报告采用的三组数据严格标注了机构与边界，但如果读者把它们与其他来源混用，结论会立刻失真。任何跨报告比较，都必须先对齐边界。

控制层的价值可能被平台厂商吞掉。 本报告把安全治理与评估列为优先方向，前提是「治理会作为独立层存在」。但模型厂与云厂商正在同时铺 SDK、运行时与协议，如果治理最终被做成平台的内置功能，独立厂商的空间会被压缩。这个前提一旦不成立，S 级优先的三条要同步下调。

技能生态的规模数据存在统计幻觉。 安装量不等于使用量，100 万技能里近一半只被装过一次；Unit 42 的 80% 不一致率基于 49,943 个 OpenClaw 技能这一特定样本，不能直接外推到所有注册表。规模故事讲得越大，越要回到样本看。

支付与协议方向存在「表内繁荣」。 链上笔数与真实商务流水差三个数量级，任何把交易笔数当作市场规模的推算都会高估。本报告给这个方向 4.00 分、但明确标为「留接口不压重注」，就是为这个风险留的余地。

监管时间表仍有变数。 EU AI Act 的高风险义务已推迟至 2027 年 12 月 2 日，但透明度义务没有推迟；后续是否还有新的修订，无法从现有公开信息判断。把合规准备建立在「还会再推迟」的预期上，是把这套时间表用错的主要方式。

如果以上五条中有两条同时失效，本报告对「控制层是未来 12 个月确定性较强的方向」这一核心判断需要重新评估。

附录 A：方法论与口径说明

一、数据采集。 本报告数据来自三类来源：机构新闻稿与官方文档（Gartner、IDC、McKinsey、Deloitte、S&P Global、KPMG、Stanford HAI、Linux Foundation、Model Context Protocol 官方博客等）；厂商与研究机构的公开报告（Vercel、Databricks、Mem0、阿里云、爱分析、Unit 42、Snyk、Zenity、Adversa）；以及对 15 个开源仓库的 star、fork 与最近提交时间做的实测。

本报告期采用 9 月 28 日的口径基线（OpenClaw 390,670、DeepSeek Harness 237,954），10 月 12 日的复测快照列在附录 C。

二、评分方法。 24 个方向按热度、市场潜力、刚性、竞争度四维打分，1 至 5 分，调整后推荐分 =（热度 + 市场潜力 + 刚性）÷ 3 −（竞争度 − 3）× 0.5。评分是编辑判断，不是统计结果；同一方向在不同机构的口径下可能落在不同象限。

三、三个读数纪律。 先看口径再看数字；同一机构的跨版本预测不可直接比较；不把数量当价值。这三条的具体例子见 1.4 节。

四、关于语言。 报告中的「亿美元」「万亿美元」均为美元；「亿元」为中国市场口径的人民币。凡涉及中国市场规模的数字，均标注机构，不与其他口径相加。

五、关于时效。 报告期为 2026 年 9 月 1 日至 9 月 30 日。两处例外已在正文标注披露日期：Crunchbase 的三季度风投数据于 10 月 5 日披露，覆盖 7 至 9 月；Gravity 的融资追踪末次更新于 10 月 4 日。10 月 1 日之后的事件统一收入附录 C，不计入本期结论。

附录 B：数据来源清单

以下为正文引用的主要来源，按机构归类。

1. Gartner — Worldwide AI Spending to Grow 49.5% in 2026 — 2026-09-16 — https://www.gartner.com/en/newsroom/press-releases/2026-09-16-gartner-forecasts-worldwide-ai-spending-to-grow-49-point-5-percent-in-2026
2. Gartner — Forecast Analysis: Agentic AI Spending in Software Markets — 2026-02-17 — https://www.gartner.com/en/documents/7455226
3. Gartner — AI Inference Costs per Agentic Workflow Will Increase More Than Fivefold Through 2028 — 2026-08-17 — https://www.gartner.com/en/newsroom/press-releases/2026-08-17-gartner-predicts-ai-inference-costs-per-agentic-workflow-will-increase-more-than-fivefold-through-2028
4. Gartner — $234 Billion in Enterprise Application Software Spend Is at Risk From Agentic AI — 2026-07-01 — https://www.gartner.com/en/newsroom/press-releases/2026-07-01-gartner-says-us-dollars-234-billion-in-enterprise-application-software-spend-is-at-risk-from-agentic-artificial-intelligence
5. Gartner — Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 — 2025-06-25 — https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027
6. Gartner — Hype Cycle for Agentic AI 2026 — 2026-04-15 — https://www.gartner.com/en/articles/hype-cycle-for-agentic-ai
7. Gartner — 垂直行业软件中的 agentic AI 机会到 2030 年增长 32.4 倍 — 2026-09-24 — https://www.gartner.com/en/documents/8424213
8. IDC — Agentic AI Is Critical Infrastructure — 2026-03-16 — https://www.idc.com/resource-center/blog/agentic-ai-is-critical-infrastructure
9. IDC — 2030 年 22 亿 AI Agent 将作为新数字劳动力席卷全球 — 2026-01-12 — https://www.idc.com/resource-center/blog/idc%E9%A2%84%E6%B5%8B%EF%BC%8C2030%E5%B9%B422%E4%BA%BFai-agent%E5%B0%86%E4%BD%9C%E4%B8%BA%E6%96%B0%E6%95%B0%E5%AD%97%E5%8A%B3%E5%8A%A8%E5%8A%9B%E5%B8%AD%E5%8D%B7%E5%85%A8%E7%90%83
10. IDC × 浪潮信息 — 2026 年中国人工智能计算力发展评估报告 — 2026-09-21 — https://news.sciencenet.cn/htmlnews/2026/9/571871.shtm
11. IDC — MarketScape：中国企业资源管理市场 AI Agent 2026 年厂商评估 — 2026-09-28 — https://www.idc.com/resource-center/blog/idc-marketscape%E6%9C%80%E6%96%B0%E8%AF%84%E4%BC%B0%EF%BC%9A%E4%BC%81%E4%B8%9A-ai-agent-%E7%9A%84%E7%AB%9E%E4%BA%89%EF%BC%8C%E6%AD%A3%E4%BB%8E%E5%8A%9F%E8%83%BD%E5%B1%95%E7%A4%BA%E8%BD%AC%E5%90%91
12. IDC — 市场份额：中国智能企业内容与知识平台 2026H1 — 2026-09 — https://www.idc.com/resource-center/blog/resource-region/3_337
13. 爱分析 — 2026 中国企业智能体市场规模报告 — 2026-06-15 — https://www.ifenxi.com/research/content/6781
14. 爱分析 — 2026 年中国智能体记忆市场规模研究报告 — 2026 — https://www.ifenxi.com/research/content/6797
15. 国家发改委 — 智能体正式定规，释放三大核心导向（含赛迪顾问口径）— 2026-05-15 — https://www.ndrc.gov.cn/wsdwhfz/202605/t20260515_1405212.html
16. 中央网信办等 — 《智能体规范应用与创新发展实施意见》— 2026-05-08 — https://www.cac.gov.cn/2026-05/08/c_1779979789523320.htm
17. 国务院 — 《关于深入实施「人工智能+」行动的意见》政策梳理 — 2025-08-26 — https://www.cernet.edu.cn/xxh/focus/zc/202605/t20260528_2738385.shtml
18. Crunchbase News — Q3 2026 Global Startup Funding: Record Count of Billion-Dollar Rounds — 2026-10-05 — https://news.crunchbase.com/venture/q3-2026-global-startup-funding-ai-billion-dollar-rounds-exits-data
19. Gravity — AI Agent Startup Funding Tracker Q3 2026 — 2026-10-04 — https://gravity.fast/blog/ai-agent-funding-tracker-q3-2026
20. Stanford HAI — 2026 年人工智能指数报告（中文版）— 2026 — https://hai.stanford.edu/assets/files/hai-ai-index-2026-chinese-version-082226.pdf
21. McKinsey — The State of AI in 2026 — 2026-08 — https://www.mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai
22. Deloitte — Agentic AI Transformation Survey — 2026-01-21 — https://www.deloitte.com/us/en/about/press-room/deloitte-survey-examines-ai-readiness-agentic-ai-success.html
23. Digital Applied — Agentic AI Statistics 2026: 150 Sourced Data Points — 2026-09-22 — https://www.digitalapplied.com/blog/agentic-ai-statistics-2026-definitive-collection-150-data-points
24. Digital Applied — 88% of AI Agents Never Reach Production — 2026-03-14 — https://www.digitalapplied.com/blog/88-percent-ai-agents-never-reach-production-failure-framework
25. Ramp — AI Index, August 2026 — 2026-08 — https://ramp.com/data/ai-index-august-2026
26. LangChain — State of Agent Engineering 2026 — 2026-06-12 — https://www.langchain.com/state-of-agent-engineering
27. 阿里云 — 2026 Agent Survey — 2026 — https://github.com/aliyun/ai-agent-handbook/blob/main/2026-agent-survey-report.md
28. Databricks — Enterprise AI Agent Trends: Top Use Cases, Governance & Evaluations — 2026 — https://www.databricks.com/blog/enterprise-ai-agent-trends-top-use-cases-governance-evaluations-and-more
29. Martin Fowler / Thoughtworks — Harness Engineering — 2026-04-02 — https://martinfowler.com/articles/harness-engineering.html
30. MAST — Multi-Agent System Failure Taxonomy 数据集（1,642 条真实轨迹）— 2025–2026 — https://huggingface.co/datasets/mcemri/MAST-Data
31. Fiddler AI — AI Agent Failure Rate — 2026-07-13 — https://www.fiddler.ai/blog/ai-agent-failure-rate
32. Vercel — State of agent skills — 2026-09-25 — https://vercel.com/blog/state-of-agent-skills
33. Skillselion — State of AI Agent Skills 2026 — 2026-10-08 — https://skillselion.com/state-of-ai-agent-skills-2026
34. Unit 42 (Palo Alto Networks) — AI Agent Supply Chain Risks — 2026-06-11 — https://unit42.paloaltonetworks.com/ai-agent-supply-chain-risks
35. Cloud Security Alliance — Skill.md / Agent Context Poisoning 研究简报（含 Snyk 对 3,984 个技能的审计与 CVE-2026-25253）— 2026-02 — https://labs.cloudsecurityalliance.org/research/briefing-csa-research-note-skill-md-agent-context-poisoning
36. Antiy CERT — ClawHavoc：针对 OpenClaw 技能市场的大规模投毒活动分析 — 2026-02-05 — https://www.antiy.net/p/clawhavoc-analysis-of-large-scale-poisoning-campaign-targeting-the-openclaw-skill-market-for-ai-agents
37. Businesswire — Zenity Labs Uncovers 1.7 Million-Install Malicious Skills Campaign — 2026-08-06 — https://www.businesswire.com/news/home/20260806707467/en/
38. Model Context Protocol — The 2026-07-28 Specification Revision — 2026-07-28 — https://blog.modelcontextprotocol.io/posts/2026-07-28
39. Digital Applied — MCP Adoption Statistics 2026 — 2026 — https://www.digitalapplied.com/blog/mcp-adoption-statistics-2026-model-context-protocol
40. Linux Foundation — A2A Protocol Surpasses 150 Organizations — 2026-04-09 — https://www.linuxfoundation.org/press/a2a-protocol-surpasses-150-organizations-lands-in-major-cloud-platforms-and-sees-enterprise-production-use-in-first-year
41. Mem0 — State of AI Agent Memory 2026 — 2026 — https://mem0.ai/blog/state-of-ai-agent-memory-2026
42. ibl.ai — Agent Memory: State Transitions, World Models vs RAG（StateMemBench，234 个多会话场景）— 2026-08 — https://ibl.ai/blog/agent-memory-state-transitions-world-models-vs-rag
43. Automation Anywhere — GBA-Bench：轨迹级 Agent 评测 — 2026 — https://www.automationanywhere.com/company/blog/ai-agent-benchmarks
44. Palo Alto Networks — 2026 Identity Security Landscape（机器身份与人类比 109:1）— 2026 — https://www.paloaltonetworks.com/blog/identity-security/assess-maturity-when-machine-identities-outnumber-humans-1091
45. Cloud Security Alliance — The Non-Human Identity Governance Vacuum — 2026-05-20 — https://labs.cloudsecurityalliance.org/research/csa-whitepaper-nonhuman-identity-agentic-ai-governance-v1-cs
46. Jones Walker LLP — Yes, August 2 Still Matters: The EU Approved a High-Risk AI Delay — 2026 — https://www.joneswalker.com/en/insights/blogs/ai-law-blog/yes-august-2-still-matters-the-eu-approved-a-high-risk-ai-delay-but-most-trans.html
47. Cloud Security Alliance — EU AI Act High-Risk Deadline Pushed to December 2027 — 2026 — https://labs.cloudsecurityalliance.org/research/csa-research-note-eu-ai-act-omnibus-vii-deadline-delay-20260
48. Adversa AI — Top AI Agent Security Resources, October 2026 — 2026-10-04 — https://adversa.ai/blog/top-ai-agent-security-resources-october-2026
49. Zenity — AI Agent Database Deletion（PocketOS 生产库被删复盘）— 2026 — https://zenity.io/blog/ai-agent-database-deletion-pocketos
50. AY Automate — AI Agent Incidents 2026: Production & Safety — 2026-09-26 — https://www.ayautomate.com/blog/ai-agent-incidents-2026-production-safety
51. SAP — Agent Sprawl: Why AI Governance Is Now a Board-Level Issue — 2026-08-03 — https://news.sap.com/2026/08/agent-sprawl-why-ai-governance-is-now-board-level-issue
52. World Economic Forum — Global Cybersecurity Outlook 2026 — 2026 — https://www.weforum.org/publications/global-cybersecurity-outlook-2026
53. Agent Economy — x402 Transactions Dashboard — 2026-10-05 — https://agenteconomy.to/stats/x402-transactions
54. Mastercard — New Trust and Intelligence Services for Agentic Commerce — 2026-09-30 — https://www.mastercard.com/us/en/news-and-trends/press/2026/september/new-trust-and-intelligence-services.html
55. Value Add VC — Salesforce Agentforce ARR Hits $1.5B — 2026-08-26 — https://valueaddvc.com/pulse/salesforce-agentforce-1-5-billion-arr-benioff-2026
56. JetBrains — AI Coding Agents: Adoption Trends — 2026-08 — https://blog.jetbrains.com/research/2026/08/ai-coding-agent-adoption-2026
57. Salesforce — New Research: AI Service Agents Are Scaling and Delivering CSAT — 2026-05 — https://www.salesforce.com/news/stories/ai-service-agents-improve-customer-satisfaction
58. MarketsandMarkets — AI Security Operations Center Market 2026–2031 — 2026 — https://www.marketsandmarkets.com/Market-Reports/ai-security-operations-center-soc-market-198062608.html
59. Checkout.com — Agentic Commerce 2026: The State of Consumer Demand and Merchant Readiness — 2026 — https://www.checkout.com/guides-and-reports/agentic-commerce-2026
60. Adobe — 2026 AI and Digital Trends Report — 2026 — https://business.adobe.com/resources/digital-trends-report.html
61. Temporal — The State of Development 2026 与持久执行基础设施融资 — 2026-09 — https://temporal.io/reports/state-of-development-2026
62. 亿欧智库 — 2026 中国智能体类应用洞察报告（预热）— 2026-05-19 — https://www.iyiou.com/news/202605191130207
63. 斯坦福数字经济实验室 — The Enterprise AI Playbook（77% 落地难题非技术）— 2026-04 — https://cloud.tencent.com/developer/article/2674386
64. Eightfold AI — The Most Important Job of 2026: AI Agent Orchestration — 2026 — https://eightfold.ai/blog/most-important-job-2026
65. Ripenapps（引 Sinch《The AI Production Paradox》）— Why 74% of Enterprises Are Rolling Back AI Agents After Launch — 2026-05-21 — https://medium.com/@ripenapps-technologies/why-74-of-enterprises-are-rolling-back-ai-agents-after-launch-738b15a213a3
66. GitHub REST API — 开源仓库 star / fork / 最近提交实测值（口径日 2026-09-28）— https://api.github.com/repos/openclaw/openclaw

附录 C：10 月上旬增量（超出报告期，截至 10 月 12 日）

以下四条发生在 10 月 1 日之后，不属于本报告期结论，仅作后续跟踪，供读者在阅读本期判断时了解最新变量。

另需说明：Gartner IT Symposium/Xpo 2026 于 10 月 19 至 22 日在奥兰多举行，Agentic AI 被列为五大主题之一。这类会议通常会在两周内重塑行业话语，建议在下期报告中单独观察。

关于发布方

仙踪问道（北京日月新著互联网科技有限公司）长期跟踪 AI Agent 市场的规模口径、落地路径与治理实践，按月发布市场分析报告，并在 Hermes Agent、MCP 服务、GEO 等产品线的企业部署中积累一线观察。本报告的判断来自公开数据与实测，不代表任何被提及机构的立场。

免责声明：本报告所引数据均来自公开来源，已在附录 B 标注机构与披露日期；不同机构的口径差异较大，引用时请连同口径一并标注。报告中的评分与观点为编辑判断，不构成投资建议。若发现数据或口径错误，欢迎指正，我们会在下一期报告中更正。

这份报告每月更新一次，下一期会重点跟踪 10 月的治理工具落地情况与三季度财报里的 Agent 收入口径，关注后可以及时看到。如果你们团队正在推进 Agent 落地，欢迎把卡住的环节写在评论里——出现多的场景，我们会在下一期单独拆开写。