YC 開源自家 Harness，3 天斬獲 3.9k Star，QM 如何劃清 Agent 的權限邊界

從拼模型能力，到搭管控骨架。作者丨樊天驕 編輯丨鄭佳美 過去兩年，AI Agent 的競爭邏輯一直圍繞一個核心問題展開：如何讓一個 Agent 助手變得更加聰明及能幹。從 Claude Code、Codex，到 OpenClaw、Manus，現在的 Agent 可以寫代碼、分析數據、調用工具，甚至獨立完成過去需要數小時、數天才能完成的複雜任務。現在的 Agent 開始進入企業場景。這個時候 需要解決的就不僅僅是 “如何讓一個程序員更高效”，還有 “如何讓100個 AI 員工安全協作” 的問題。

近日，由頂級孵化器 Y Combinator（YC）開源的 QM 項目迅速引爆技術社區 ——YC 正是 OpenAI CEO 山姆・奧特曼早年執掌、奠定其全球創投地位的平臺。這個項目上線 3 天狂攬 3.9k GitHub Star，官宣當日直接登頂 Hacker News 榜首。區別於市面上主打個人生產力的 Agent 工具，QM 的定位是面向多人協作的企業級 Agent Harness。它不直接執行具體業務任務。作為一個給團隊和公司使用的 Agent 管理工具，它專門解決 AI 規模化落地過程中的數據隔離、權限治理、環境統一、審計合規等全鏈路管理難題。

01QM: 一個專門面向企業的 Harness要理解 QM 的價值，先要釐清 Agent 產業的三層分工邏輯：底層大模型承擔思考與決策，中間層 Agent 負責具體任務執行，而 Harness 作為外層管控框架，負責提供執行環境、管理上下文與記憶、調度工具權限、約束行為邊界。目前主流的 AI 編程與效率工具，比如 Claude Code、OpenClaw、Hermes 等，本質都屬於個人級 Harness。它們並非沒有基礎的沙箱隔離、權限控制與會話恢復能力，但其設計核心更多圍繞單用戶體驗優化，優先保障個人使用的便捷性與執行效率，在個人生產力場景下優勢突出。

▎但當 Agent 進入企業規模化使用，個人工具的原生侷限就會集中爆發，主要集中在三個問題上：1.組織級數據邊界缺失：個人 Harness 默認以單用戶為單位共享運行環境與記憶空間，多人、多項目共用時極易出現跨團隊、跨項目的記憶串臺；也缺少按組織架構、項目維度劃分的細粒度隔離機制，員工個人密鑰、項目敏感文件存在意外洩露風險。2.企業級權限治理空白：個人工具以最大化執行效率為目標，默認賦予 Agent 較高的本地操作權限；而企業場景必須遵循最小權限原則，既要匹配不同崗位的權限範圍，也要對高危操作做統一管控與審計追溯，這是個人 Harness 普遍不具備的能力。3.

長週期環境一致性不足：多數個人 Harness 的沙箱與會話深度綁定，會話結束後環境隨即重置。企業項目通常跨天、跨周執行，反覆搭建環境不僅拉低效率，也難以保障不同員工、不同會話下的運行環境一致。這就催生出面向組織的企業級 Agent Harness 賽道。需要明確的是，QM 的定位並不是打造一套能夠自動調度多個 AI 互相分工協作的系統，而是一個多人共用的 Agent 管理平臺，核心職責讓組織內大量員工都可以安全可控地使用 Agent。

在此基礎上，QM 補齊了企業團隊剛需能力：綁定真實員工身份、提供項目共享空間並實現多人權限劃分與平臺統一管理，以此回應上述個人級 Harness 難以覆蓋的組織側痛點。02把企業組織邏輯融入 Agent 管理QM 之所以快速出圈，核心在於它跳出了給個人工具加多用戶功能的常規改造路徑，相較於其他的從底層架構上貼合企業組織運行規則。它主要解決的，不是“讓很多 AI 自己分工幹活”，而是“讓很多員工都能安全地使用 Agent”。

它更像一個多人共用的 Agent 管理平臺，其核心設計包含四大維度：Scope 作用域隔離機制：平臺以個人、項目組、協作頻道為邊界切分運行空間，不同範圍的對話記憶、項目文件、密鑰與沙箱環境互相隔開。因為用戶身份和權限會先行校驗，再分配對應的作用域資源，很大程度避免多人協作中出現數據串臺、越權訪問，兼顧個人空間隱私和團隊的數據共享。持久化沙箱（Durable Sandbox）設計：QM 沒有采用行業常見的會話銷燬機制，而是為每一個 Scope 綁定持久化運行環境。即便會話關閉，沙箱裡已經裝好的依賴、配置、定時任務和未做完的任務狀態都會保留。

不用每次重新搭建環境，長週期項目可以斷點繼續運行，適配企業跨天、跨周的工作節奏。模型無關（Model Agnostic）架構：管控底座和 Agent 執行引擎相互解耦，通過標準接口對接 Claude Code、Codex 等主流 Agent，企業可以靈活更換底層模型。業務團隊可以根據成本和能力自由選型，不會被單一廠商綁定；多套 Agent 引擎的調用、用量、安全規則統一收納管理，改善多工具並行帶來的管理碎片化。三級分級安全策略（Security Posture）：QM 還提供了三個安全檔位適配不同風險場景。

嚴格模式： Agent 的多數操作必須經過人工審批，適合生產等高風險環境； 自動模式：只針對外部輸入做風險檢測，抵禦提示詞注入攻擊，服務日常普通工作； 開放模式：幾乎關閉安全攔截，給到 Agent 最大操作權限，僅用於已經充分信任的低風險場景。這套分級機制兼顧風險約束和工作效率，全部操作留存審計日誌，填補普通個人 Agent 工具在企業合規層面的短板。03這麼設計的亮點是什麼？適配在哪？QM 的底層設計有兩個相當聰明的思路。它沒有一味地堆技術，而是架構思路完全貼合真實企業規則。

這樣做解決了兩個企業級 Agent 的核心難題：如何處理 Agent 之間隔離與協作的平衡，以及如何管理 Agent 的權限。首先，企業級 Agent 面臨的第一個原生難題，是多用戶場景下的邊界問題。傳統個人 AI Harness，如 Claude Code 這類個人工具，會讓所有用戶和項目共用一個空間，完全沒有公私區分和項目隔離，多人協作使用時就容易文件混在一起，權限一團亂。

QM 做的關鍵升級是，它照著真實公司的管理規則，給 AI 搭建了一套分層隔離體系：每個人有自己獨立 AI 環境，每個項目有獨立 AI 協作空間（對應項目公共文件夾） 既可以實現私人數據隔離，又可以實現團隊協作共享，改掉了傳統個人 AI Harness 亂混、無邊界的缺陷。第二個更關鍵的設計，是回答了一個企業級 AI 的關鍵問題：Agent 到底應該擁有哪些的權限？行業對企業 AI 的傳統想象，往往是給 Agent 開設一個獨立的超級服務賬號，賦予其跨系統的訪問權限。

但這套思路的風險顯而易見：權限邊界難以把控，過高的全局權限極易引發數據安全問題；同時 Agent 操作脫離具體人員身份，一旦出現問題無法追溯責任，並不符合企業審計合規要求。因此 QM 選擇了完全不同的路徑。QM 會讓 Agent 代表某個具體員工工作，並使用公司分配給這個員工或項目的賬號和憑證。簡單來說就是，由公司來決定 Agent 權限，而非給 Agent 本身分配一套獨立、凌駕於人之上的賬號體系。這種機制帶來的直接價值十分明顯。

一方面，Agent 的所有操作都綁定具體員工身份，企業可以實現完整審計和責任追蹤；另一方面，企業無需重新搭建 AI 權限體系，Agent 可以直接複用已有 IT 架構。例如，員工擁有 Microsoft Graph API 權限後，其 Agent 即可直接調用郵件、Teams、OneDrive 等企業服務。總體來看，QM 沒有試圖做一個擁有全公司最高權限、無所不能的 “超級 Agent”，而是把 Agent 的上下文和能力，限定在需要它執行操作的對應容器裡。簡單說就是它不搞一個 AI 管全公司的科幻概念，只是給每個崗位、每個項目配對應權限的 AI，較為有效地降低了全局權限氾濫的安全風險。

04從拼模型能力，到搭管控骨架QM 的爆火，從來不是因為它做了一個更厲害的 AI，而是它精準踩中了整個行業的轉折點：AI 正在從個人提效工具，進化為企業級工程基礎設施。有開發者感慨，現在哪怕是個人用多套 Agent 工具分工協作，都已經能跑出 “小型公司” 的運轉體感；而當一整個企業要規模化落地 AI 時，必然需要一套完整的 “數字大腦” 框架，來承載整個組織的記憶、權責與流程。QM 的出現，恰恰印證了這一判斷 —— 行業的注意力，終於從堆模型能力，轉向了搭落地骨架。

可以預見的是，未來企業 AI 的核心壁壘，從來不是用了哪款最聰明的大模型，而是能不能搭起一套可沉澱、可管控、可複用的組織 AI 骨架。而 Harness，就是這套骨架的核心載體。上車，帶你看遍全球 AI 頂會精華可獨家暢覽：專家演講PPT大會報告全文熱門論文解讀學術新星訪談掃描上方二維碼或點擊「閱讀原文」關注專區。