从ARD协议说起，Agent行业的拐点到了

六月中旬的科技圈其实挺热闹的，OpenAI发新模型，Anthropic被出口管制折腾得够呛，大模型的参数和价格战打得火热。但在所有这些喧嚣里，有件事悄悄发生了。

谷歌联合微软、英伟达、Salesforce、Snowflake等十几家公司，发布了一个叫ARD的开放规范。全称是Agentic Resource Discovery，智能体资源发现。

很多人看完规范第 一反应是，这不就是Agent世界的DNS吗？话糙理不糙。但如果只把它当成一个技术标准，可能就低估了这件事的分量。

过去两年我们聊Agent，关注的是单个模型有多强，单个Agent能做多少事；从ARD开始，话题要变了。Agent行业进入“生态互联”的阶段，而这通常就是一个技术领域从萌芽走向规模化的拐点。

01、ARD补上了Agent生态最缺的那块拼图

想理解ARD的意义，得先回头看看这两年Agent领域都攒了哪些家底。

最早大家做Agent，都是自己写代码硬接工具。要查天气就接天气API，要查数据库就写个数据库连接器，每加一个能力都要改一次代码，繁琐且不可扩展。直到2024年底Anthropic推出了MCP，也就是模型上下文协议，这件事才得到改观。

MCP相当于给AI做了个通用USB接口，只要工具遵循MCP标准，Agent就能即插即用，不用再逐个适配。这个协议推出后普及速度极快，现在几乎所有主流Agent框架和模型都支持MCP。

解决了“怎么调用工具”的问题，下一个问题自然就来了：Agent和Agent之间怎么协作？于是有了A2A协议，定义了Agent之间任务请求、状态同步、结果返回的标准格式。

每个Agent有一张“名片”说明自己能做什么，任务发过去，对方处理完把结果交回来，整个过程有生命周期、可追踪。A2A更像是Agent世界的HTTP协议，让不同厂商、不同平台的Agent能跨系统对话。

但到这里还缺了关键一环。

你有了USB接口，有了通信协议，可你怎么知道网上有哪些工具、哪些Agent可用？总不能全靠开发者手动一个个加进去吧？

现在的Agent系统就是这样的，所有工具和协作方都得预先配置好，写死在代码或者配置文件里。Agent数量少的时候还好，等未来网上成千上万的Agent和工具散落在各个域名下，手动配置根本不现实。

这就是ARD要解决的问题。

按照规范，任何组织都可以在自己的域名下放一个ai-catalog.json文件，里面描述自己提供了哪些工具、哪些Agent、输入输出是什么、归属权是谁。然后有专门的注册表去爬取这些目录、建立索引，就像搜索引擎爬取网页一样。

当一个Agent需要某项能力时，它不用预先知道对方在哪，只要去注册表里搜一下，就能找到对应的资源，验证过发布者身份后直接连接调用。

整个信任体系的根基是域名所有权。你能在某个域名下发布目录，就说明你拥有这个域名，身份天然得到了验证。这个设计很巧妙，沿用了互联网几十年的成熟信任模型，不用重新造一套身份体系。

所以你看，三层协议摞起来，整个Agent互联的底层逻辑就通了：MCP管工具连接，A2A管Agent间通信，ARD管资源发现。

分别对应了互联网历史上的USB、HTTP和DNS——熟悉互联网发展史的人看到这个结构，应该会有种似曾相识的感觉。当年TCP/IP、DNS、HTTP这些基础协议成型之后，互联网才真正开始爆发。

这次牵头的公司名单也很有意思。谷歌、微软自不必说，云厂商和SaaS巨头基本都到齐了：Salesforce、ServiceNow、Snowflake、Databricks，基础设施厂商有英伟达、思科，开发者生态有GitHub、Hugging Face。

基本上是除了OpenAI和Anthropic之外，硅谷能叫得上号的科技公司都参与了。

OpenAI和Anthropic为什么没加入？原因也不复杂。这两家现在走的是相对封闭的生态路线，自己做模型、自己做Agent平台、自己整合工具，能力都在自己的体系内闭环，自然没有动力去推一个开放发现协议。

而谷歌微软这些公司，业务线广、产品多，又有大量企业客户在用异构系统，开放互联对他们来说收益更大。

这是不同生态位的公司做出的符合自身利益的决策。但客观上，十几家巨头联手推一个开放标准，这件事有足够的分量。协议本身是Apache 2.0许可，完全开源，谁都可以实现和使用，不存在被某一家控制的风险。

02、基础设施合围，Agent终于要走出Demo阶段

ARD不是孤立事件。如果把时间拉宽到最近半年，你会发现Agent领域的基础设施正在以极快的速度补齐，几乎每个层面都有重要进展。

最 底层的模型能力不用多说，推理、工具调用、长上下文这些基础能力一年上一个台阶。更值得关注的是模型之外的工程化能力。

比如六月初Anthropic推出的两项企业级功能：定时调度和凭证保险箱。

前者让Agent可以按计划自动运行，不用等人触发，夜间同步数据、每周生成报表这种场景终于不用再外挂一个调度器；后者把API密钥和凭证放在模型上下文之外，在网络边界注入，就算Agent被攻破也拿不到密钥。这两个功能都是企业落地时卡了很久的实际问题。

安全层面的动作更多。

OWASP今年初发布了智能体十大安全风险，把提示注入、过度授权、第三方工具供应链风险这些问题系统梳理了一遍。各家厂商也陆续推出沙箱运行、权限隔离、操作审计这些能力。

之前很多企业不敢上Agent，最 大的顾虑就是“自己会做决策，但捅了娄子谁负责”，现在安全护栏一点点建起来，顾虑才会慢慢打消。

开发框架和工具链也在成熟。从最早的LangChain一枝独秀，到现在AutoGen、CrewAI、Dify、Coze各有侧重，做单Agent的、做多Agent协作的、做低代码平台的，开发者的选择越来越多，搭建一个可用Agent的成本已经降到了很低的程度。

所有这些技术点凑在一起，产生的效果就是：Agent终于开始能真正干活了。

Gartner的预测数据很能说明问题：2025年底，全球企业应用里嵌入Agent的比例还不足5%；到2026年底，这个数字会跳到40%。

一年时间翻八倍，这在企业软件历史上都是罕见的普及速度。市场规模的增长同样迅猛，Grand View Research的数据显示2026年全球AI Agent市场规模在百亿美元量级，年复合增长率接近50%。

不过，数字很光鲜，真实的落地过程没那么轻松。

现在企业端的状态是两极分化：一部分走得快的企业，已经在客服、研发、供应链这些场景里把Agent用进了生产流程，能看到实实在在的效率提升；更多的企业还在观望，买了大模型账号，做了几个Demo，然后就卡在了怎么跟现有系统集成、怎么保证安全合规、怎么管理成百上千个Agent这些问题上。

卡在这些问题上很正常，因为之前基础设施没到位。你想让Agent深入业务流程，它得能找到企业内部的各种系统、能安全地调用数据、能和其他Agent分工协作，这些都不是单个模型能解决的，需要一整套标准和工具支撑。

而现在，这套支撑体系正在快速成型。ARD的出现补上了资源发现这一环，加上之前的MCP和A2A，再加上安全、调度、记忆这些模块，Agent规模化落地的前提条件基本都齐了。

这很像九十年代中期的互联网。TCP/IP成熟了，Web标准出来了，浏览器也有了，然后网站数量就开始爆炸式增长。不是说之前没人做互联网，而是基础设施到位之后，接入成本骤降，参与者的数量才会出现量级上的飞跃。

Agent行业现在就处在这个临界点上。过去两年我们见了太多Demo，个个惊艳，真要落地生产处处碰壁。接下来的一两年，或许会是Demo批量变成真实产品的阶段。

03、拐点之后，行业竞争的逻辑会变

基础设施成型之后，行业的玩法就会变。

之前谁能先做出一个能用的Agent，谁就有话语权；以后要看标准会从“有没有”转向“好不好用、安不安全、能不能规模化”。

首先被重塑的是生态格局。

开放协议普及之后，“连接能力”就不再是壁垒了。你的Agent能接一百个工具，我也能，反正都是标准协议，接上就行。这时候真正的壁垒会往两个方向走：

一个是往下走，比基础模型的推理能力和平台的工程化能力；另一个是往上走，看垂直行业的知识沉淀和场景深度。

中间层会被挤压。那些既没有模型能力、又没有行业积累，只靠封装一下开源框架做通用Agent平台的公司，日子会越来越难过。标准越统一，中间层的价值就越薄。这跟当年云计算普及之后，很多做中间件的公司被冲击是一个道理。

然后是安全和治理会从加分项变成入场券。

之前聊Agent安全，很多人觉得是小题大做，不就是个聊天机器人吗，能出什么事。但当Agent真的开始执行业务流程，能调用系统、能操作数据、能发指令的时候，安全问题就会立刻变得严肃起来。

OWASP列出的那些风险不是理论上的，已经有真实的攻击案例出现：提示注入篡改Agent行为，恶意工具窃取数据，甚至Agent之间互相攻击传递恶意指令。

所以接下来企业选型Agent产品，有没有完善的权限管控，有没有完整的操作审计，有没有沙箱隔离机制，能不能跟企业现有的安全体系对接，这些会变成硬性要求。安全能力不到位的产品，连招标的门都进不去。

再就是开放生态和封闭生态的博弈会进入新阶段。

ARD背后是谷歌微软牵头的开放路线，OpenAI和Anthropic走的是相对封闭的路线。两种路线各有优劣：开放生态参与者多、发展快、兼容性好，但一致性和体验把控难；封闭生态体验统一、安全可控，但能整合的资源有限。

历史上这种博弈出现过很多次。PC时代的Windows是封闭的，互联网是开放的；移动时代的iOS是封闭的，安卓是开放的。没有哪一种模式会彻底赢，通常是长期共存，在不同领域各有优势。

Agent领域大概率也会这样：对安全性、一致性要求高的场景，封闭生态会更受欢迎；需要广泛整合能力、灵活定制的场景，开放生态会占上风。

对开发者和企业来说，重要的是理解两种生态的特性，根据自己的场景做选择。不用纠结谁会赢，两种生态都会长期存在，而且互相之间也会有连接和转换。

Agent这个概念其实已经存在很多年了，远在大模型火起来之前就有。但直到今天，我们才真正看到它走向规模化的可能。不是因为模型突然变聪明了，而是因为支撑它的那套基础设施，终于一块一块地拼起来了。

拐点从来不是某一个瞬间，而是很多件小事凑在一起，悄悄发生的质变。ARD是其中很重要的一块拼图，但不会是最后一块。接下来还会有更多的标准、更多的工具、更多的实践冒出来，把Agent从一个个孤立的“数字玩具”，真正变成能融入各行各业的生产力工具。