测量 AI Agent 自主性：Anthropic 实践研究

AI 智能体已经到来，并且已被部署到后果严重程度差异巨大的各种场景中，从电子邮件分类处理到网络间谍活动。理解这一谱系对于安全部署 AI 至关重要，但令人意外的是，我们对人们在现实世界中实际如何使用 AI 智能体知之甚少。

我们使用隐私保护工具，分析了 Claude Code 和公共 API 中数百万次人与 AI 智能体的交互，并试图回答以下问题：人们会赋予 AI 智能体多大的自主权？随着经验积累，这种情况会如何变化？AI 智能体正在哪些领域运行？AI 智能体采取的行动是否存在风险？

Claude Code 自主工作的时间越来越长。在持续时间最长的会话中，Claude Code 停止前的工作时长在三个月内几乎翻了一番，从不到 25 分钟增长到超过 45 分钟。这一增长在不同模型发布版本之间平稳延续，表明它并非完全源于能力提升，也说明现有模型能够实现的自主程度高于它们在实践中实际展现出的水平。

经验丰富的 Claude Code 用户更频繁地启用自动批准，但也更经常中断 Claude。随着使用 Claude Code 的经验增加，用户往往不再逐一审查每项操作，而是让 Claude 自主运行，仅在必要时进行干预。在新用户中，大约 20% 的会话会启用完全自动批准；随着用户经验的积累，这一比例会增长到 40% 以上。

Claude Code 暂停并请求澄清的频率高于人类中断它的频率。除了由人类发起的停止，由 AI 智能体发起的停止也是已部署系统中一种重要的监督形式。在最复杂的任务中，Claude Code 停下来请求澄清的次数，是人类中断它的两倍以上。

AI 智能体正在高风险领域中使用，但尚未形成规模。公共 API 上的大多数 AI 智能体操作风险较低且可逆。软件工程占 AI 智能体活动的近 50%，但我们也观察到其开始在医疗健康、金融和网络安全领域得到应用。

下面，我们将更详细地介绍研究方法和发现，最后为模型开发者、产品开发者和政策制定者提出建议。我们的核心结论是，要对 AI 智能体实施有效监督，就需要新型部署后监控基础设施，以及新的人机交互范式，帮助人类和 AI 共同管理自主权与风险。

我们认为，这项研究虽只是迈出的一小步，却是以实证方式理解人们如何部署和使用 AI 智能体的重要开端。随着 AI 智能体得到更广泛的采用，我们将继续迭代研究方法并公布研究发现。

研究真实环境中的 AI 智能体

要对 AI 智能体进行实证研究并不容易。首先，目前对于什么是 AI 智能体还没有公认的定义。其次，AI 智能体正在快速演进。去年，包括 Claude Code 在内的许多最先进 AI 智能体都采用单一对话线程，但如今已经出现了能够自主运行数小时的多智能体系统。最后，模型提供商对客户的 AI 智能体架构了解有限。例如，我们无法可靠地将发送到 API 的多个独立请求关联成 AI 智能体活动的一个“会话”。（我们将在本文末尾更详细地讨论这一挑战。）

面对这些挑战，我们该如何对 AI 智能体开展实证研究？

首先，在本研究中，我们采用了一个既有概念基础、又可操作的 AI 智能体定义：AI 智能体是一种配备了工具的 AI 系统，这些工具使它能够采取行动，例如运行代码、调用外部 API，以及向其他 AI 智能体发送消息。¹ 研究 AI 智能体所使用的工具，可以让我们深入了解它们在现实世界中正在做什么。

接下来，我们设计了一组指标，其数据来自公共 API 中的 AI 智能体用例以及我们自己的编程智能体 Claude Code。两类数据源分别在覆盖广度和分析深度之间作出了不同取舍：

公共 API 使我们能够广泛观察数千个不同客户部署 AI 智能体的情况。我们没有尝试推断客户的 AI 智能体架构，而是以单次工具调用为单位进行分析。² 这一简化假设使我们即使面对差异显著的 AI 智能体部署场景，也能针对现实世界中的 AI 智能体得出有依据且一致的观察结果。这种方法的局限在于，我们必须孤立地分析各项操作，无法还原单个操作如何随着时间推移组合成更长的行为序列。

Claude Code 则作出了相反的取舍。由于 Claude Code 是我们自己的产品，我们可以关联会话内的多个请求，了解从开始到结束的完整 AI 智能体工作流。这使 Claude Code 特别适合用于研究自主性，例如 AI 智能体可以在无人干预的情况下运行多久、什么情况会触发中断，以及用户在积累使用经验的过程中如何持续监督 Claude。不过，由于 Claude Code 只是单一产品，它无法像 API 流量那样，让我们洞察如此多样的 AI 智能体使用方式。

借助隐私保护基础设施综合利用这两类数据源，我们可以回答任何单一数据源都无法独立解决的问题。

Claude Code 自主工作的时间越来越长

AI 智能体在无人参与的情况下究竟能够运行多久？在 Claude Code 中，我们可以逐轮直接测量 Claude 从开始工作到停止工作之间经过的时间，无论停止是因为它完成了任务、提出了问题，还是被用户中断。³

单轮持续时间并不是衡量自主性的完美替代指标。⁴ 例如，能力更强的模型可能会更快完成相同的工作，而子智能体则能让更多工作同时进行，这两点都会使单轮持续时间缩短。⁵ 与此同时，用户可能会随着时间推移尝试更有挑战性的任务，从而使单轮持续时间延长。此外，Claude Code 的用户群正在快速增长，因此用户构成也在不断变化。我们无法孤立地测量这些变化；我们测量到的是这些因素相互作用后的净结果，其中包括用户允许 Claude 独立工作多久、交给它的任务有多困难，以及产品本身的效率如何——而产品效率每天都在提升。

Claude Code 的大多数轮次都很短。单轮持续时间的中位数约为 45 秒，过去几个月里仅有小幅波动，范围在 40 至 55 秒之间。事实上，低于第 99 百分位的几乎所有百分位数都保持了相对稳定。⁶ 对于一款用户规模快速增长的产品而言，这种稳定性符合我们的预期：新用户开始使用 Claude Code 时通常相对缺乏经验，并且正如下一节将展示的那样，他们不太可能赋予 Claude 完全的自主权。

更具启示性的信号出现在分布的尾部。持续时间最长的轮次，最能揭示 Claude Code 最具挑战性的应用方式，也预示着自主性的发展方向。从 2025 年 10 月到 2026 年 1 月，第 99.9 百分位的单轮持续时间几乎翻了一番，从不到 25 分钟增加到超过 45 分钟（图 1）。

值得注意的是，这一增长在不同模型发布版本之间保持平稳。如果自主性完全取决于模型能力，那么每次新模型发布时，我们应该都能看到明显跃升。相反，这一趋势相对稳定，说明可能有多种因素共同发挥作用，包括高级用户随着时间推移逐渐建立起对工具的信任、将 Claude 应用于越来越有挑战性的任务，以及产品本身持续改进。

自 1 月中旬以来，极端单轮持续时间有所下降。我们推测可能有几个原因。首先，从 1 月到 2 月中旬，Claude Code 的用户群增长了一倍；会话数量增加且用户更加多样化，可能会重塑其分布。其次，随着用户结束假期返工，他们交给 Claude Code 的项目可能已经从业余项目转变为范围界定得更严格的工作任务。最有可能的情况是，这些因素与其他尚未识别的因素共同导致了这一变化。

我们还研究了 Anthropic 内部对 Claude Code 的使用情况，以了解其独立性和实用性如何同步演变。从 8 月到 12 月，Claude Code 在内部用户最具挑战性的任务上的成功率翻了一番；与此同时，平均每个会话中的人工干预次数从 5.4 次下降到 3.3 次。⁷ 用户正在赋予 Claude 更大的自主权；至少在内部使用中，他们取得了更好的结果，同时需要干预的频率也有所降低。

这两项测量结果都表明，部署实践存在显著滞后：模型有能力承担的自主程度，高于它们在实践中实际展现出的自主程度。

将这些发现与外部能力评估进行对比很有帮助。被最广泛引用的能力评估之一是 METR 的“衡量 AI 完成长时任务的能力”（“Measuring AI Ability to Complete Long Tasks”）。该评估估计，Claude Opus 4.5 能以 50% 的成功率完成那些人类需要近 5 小时才能完成的任务。相比之下，Claude Code 中单轮持续时间的第 99.9 百分位约为 42 分钟，中位数则短得多。不过，这两个指标不能直接比较。METR 评估衡量的是模型在没有人类交互、也不存在现实后果的理想化环境中具备怎样的能力。我们的测量反映的则是实际情况：Claude 会暂停并请求反馈，用户也会中断它。8 此外，METR 所说的 5 小时衡量的是任务难度——即人类完成该任务所需的时间——而不是模型实际运行的时长。

无论是能力评估还是我们的测量，单独来看都无法完整呈现 AI 智能体的自主性，但结合起来，它们表明：实践中授予模型的自主空间落后于模型能够胜任的程度。

Claude Code 的资深用户更频繁地自动批准，但中断也更频繁

随着时间推移，人类会如何调整自己与 AI 智能体协作的方式？我们发现，随着 Claude Code 使用经验的增加，人们会赋予它更多自主权（图 2）。新用户（会话数少于 50 次）大约在 20% 的会话中使用完全自动批准；到 750 次会话时，这一比例会增加到 40% 以上。

这种转变是渐进的，表明信任在持续积累。还需要注意的是，Claude Code 的默认设置要求用户手动批准每项操作，因此，这种变化可能有一部分源于：随着用户逐渐熟悉 Claude 的能力，他们会调整产品配置，使其符合自己对更高独立性的偏好。

批准操作只是监督 Claude Code 的一种方式。用户也可以在 Claude 工作期间将其中断并提供反馈。我们发现，中断率会随经验增加而上升。新用户（使用约 10 次会话的用户）会在 5% 的轮次中中断 Claude，而经验更丰富的用户会在约 9% 的轮次中中断 Claude（图 3）。

中断和自动批准都会随经验增加。这一表面上的矛盾反映了用户监督策略的转变。新用户更倾向于在每项操作执行前逐一批准，因此很少需要在 Claude 执行过程中将其中断。经验丰富的用户更倾向于让 Claude 自主工作，并在出现问题或需要调整方向时介入。更高的中断率也可能反映出用户在主动监控：经验丰富的用户对于何时需要干预有着更敏锐的直觉。我们预计，随着用户形成稳定的监督方式，单轮中断率最终会趋于平稳；事实上，在经验最丰富的用户群体中，这条曲线可能已经开始走平（不过，随着会话次数增加，置信区间也在扩大，因此很难证实这一点）。9

我们在公共 API 上观察到了类似的模式：在最低复杂度的任务中（例如编辑一行代码），87% 的工具调用包含某种形式的人类参与；而在高复杂度任务中（例如自主寻找零日漏洞或编写编译器），这一比例仅为 67%。10 这可能看起来有违直觉，但有两种可能的解释。首先，随着步骤数量增加，逐步审批变得越来越不切实际，因此从结构上看，复杂任务中的每项操作更难受到监督。其次，我们的 Claude Code 数据表明，经验丰富的用户往往会赋予工具更多独立性，而复杂任务可能更多地来自经验丰富的用户。虽然我们无法直接衡量公共 API 用户的使用资历，但整体模式与我们在 Claude Code 中观察到的情况一致。

综合来看，这些发现表明，经验丰富的用户并不一定是在放弃监督。中断率与自动批准率会随经验同步提高，这一事实说明用户仍在进行某种形式的主动监控。这进一步印证了我们此前提出的观点：有效监督并不要求批准每一项操作，而是要确保能够在关键时刻进行干预。

Claude Code 暂停并请求澄清的频率高于人类中断它的频率

当然，人类并不是影响自主性在实践中如何展开的唯一参与者。Claude 本身也是主动参与者：当它不确定该如何继续时，会停下来请求澄清。我们发现，随着任务复杂度增加，Claude Code 请求澄清的频率也会提高，而且比人类主动中断它更加频繁（图 4）。

在最复杂的任务中，Claude Code 请求澄清的频率是最低复杂度任务的两倍以上，这表明 Claude 对自身的不确定性具备一定的校准能力。不过，不应过度解读这一发现：Claude 可能没有在正确的时机停下来，可能会提出不必要的问题，其行为也可能受到规划模式（Plan Mode）等产品功能的影响。无论如何，随着任务变得更加困难，Claude 会越来越多地主动停止并咨询人类，从而限制自身的自主性，而不是等到人类介入。11

表 1 展示了 Claude Code 停止工作以及人类中断 Claude 的常见原因。

什么会导致 Claude Code 停止？

这些发现表明，由 AI 智能体主动发起的停止，是已部署系统中一种重要的监督形式。训练模型识别自身的不确定性并采取相应行动，是一项重要的安全特性，可以补充权限系统和人工监督等外部保障措施。在 Anthropic，我们训练 Claude 在面对含糊不清的任务时提出澄清问题，也鼓励其他模型开发者采取同样的做法。

AI 智能体已被用于高风险领域，但尚未形成规模

人们正在使用 AI 智能体做什么？这些部署的风险有多高？这些 AI 智能体的自主程度如何？风险是否会与自主性形成权衡？

为了回答这些问题，我们使用 Claude，以 1 到 10 分的量表估算公共 API 中各个工具调用的相对风险和自主性。简而言之，风险分数为 1 表示即使出现问题也不会产生后果的操作，风险分数为 10 则涵盖可能造成重大伤害的操作。我们使用相同的量表评估自主性：低自主性意味着 AI 智能体似乎在遵循人类的明确指令，而高自主性意味着它在独立运行。13 随后，我们将相似操作归入不同集群，并计算每个集群的平均风险和自主性分数。

表 2 给出了处于风险和自主性两个极端的集群示例。

具有高风险或高自主性的工具使用集群

鉴于我们对这些 AI 智能体的可见性有限，这些操作有可能是模拟的（例如，我们无法确定 Claude 下达的金融交易指令是否实际执行，而且我们认为许多“数据外泄”行为属于评估）。此外，尽管这些高风险操作在总流量中所占比例很低，但单次错误造成的后果仍可能非常严重。

我们发现，80% 的工具调用来自看起来至少具备一种保障措施（例如受限权限或人工批准要求）的 AI 智能体；73% 的调用似乎以某种方式有人类参与其中；仅有 0.8% 的操作看起来不可逆转（例如向客户发送电子邮件）。14

为了呈现所有集群中风险与自主性的联合分布，我们根据每个集群在这两个维度上的平均分数绘制图表。图 5 中的每个点都对应一组相关操作构成的集群，其位置由平均风险和自主性决定。

公共 API 上绝大多数操作的风险都很低。不过，虽然大多数 AI 智能体部署相对无害，我们仍然观察到了一些处于风险和自主性前沿的新颖用途。15 风险最高的集群——同样，其中许多预计属于评估——往往涉及敏感的安全相关操作、金融交易和医疗信息。尽管风险主要集中在量表的低端，自主性的分布却更为广泛。在低端（自主性分数为 3～4），我们看到 AI 智能体为人类完成规模小、范围明确的任务，例如预订餐厅或对代码进行小幅修改。在高端（自主性分数高于 6），我们看到 AI 智能体向数据科学竞赛提交机器学习模型，或对客户服务请求进行分类处理。

我们还预计，在风险和自主性两个维度上处于极端位置的 AI 智能体将变得越来越普遍。目前，AI 智能体主要集中在单一行业：软件工程占公共 API 工具调用量的近 50%（图 6）。除编程之外，我们还在商业智能、客户服务、销售、金融和电子商务等领域看到了一些规模较小的应用，但这些应用各自所占的流量均不超过几个百分点。随着 AI 智能体扩展到这些领域——其中许多领域的利害关系比修复程序错误更为重大——我们预计风险和自主性的前沿将进一步扩展。

这些模式表明，我们仍处于采用 AI 智能体的早期阶段。软件工程师率先大规模构建和使用智能体工具，而图 6 表明，其他行业也开始尝试使用 AI 智能体。16 我们的方法使我们能够监测这些模式如何随时间演变。值得注意的是，我们可以监测其使用是否趋向于自主性更强、风险更高的任务。

尽管我们的总体数据令人安心——大多数 AI 智能体操作风险较低且可逆，通常也有人类参与其中——但这些平均数据可能会掩盖处于前沿的部署情况。AI 智能体目前主要集中应用于软件工程领域，同时越来越多的新领域也开始进行相关尝试，这表明风险和自主性的边界将会扩展。我们将在本文末尾的建议中讨论这对模型开发者、产品开发者和政策制定者意味着什么。

这项研究只是一个开始。我们对智能体活动的了解仍然只是局部的，因此希望坦率说明我们的数据能告诉我们什么，以及不能告诉我们什么：

我们只能分析来自单一模型提供商 Anthropic 的流量。基于其他模型构建的 AI 智能体可能呈现不同的采用模式、风险特征和交互动态。

我们的两个数据源提供了互补但不完整的视角。公共 API 流量覆盖数千个部署，具有广泛性，但我们只能孤立地分析单次工具调用，而无法分析完整的智能体会话。Claude Code 为我们提供了完整的会话，但它只是单一产品，而且绝大多数情况下用于软件工程。我们的许多重要发现都基于 Claude Code 的数据，因此未必能够推广到其他领域或产品。

我们的分类由 Claude 生成。我们为每个维度都提供了无法分类的选项（例如“无法推断”“其他”），并尽可能使用内部数据进行验证（更多详情请参阅附录），但由于隐私限制，我们无法人工检查底层数据。某些安全保障或监督机制也可能存在于我们能够观察到的上下文之外。

本分析反映的是一个特定时间窗口（2025 年末至 2026 年初）的情况。AI 智能体领域正在迅速变化，随着能力提升和采用方式不断演进，这些模式也可能发生改变。我们计划持续扩展这项分析。

我们的公共 API 样本以单次工具调用为采样单位，这意味着，与通过较少操作即可实现目标的部署相比，涉及大量连续工具调用的部署（例如反复编辑文件的软件工程工作流）在样本中的占比过高。这种采样方法反映的是智能体活动量，但未必反映智能体部署或使用场景的实际分布。

我们研究 Claude 在公共 API 上使用的工具以及这些操作周围的上下文，但对客户基于公共 API 构建的更广泛系统了解有限。一个在 API 层面看似自主运行的 AI 智能体，可能会在后续流程中接受我们无法观察到的人工审核。特别是，我们对风险、自主性和人类参与程度的分类，反映的是 Claude 能够从单次工具调用的上下文中推断出的信息，并不区分在生产环境中执行的操作与评估或红队演练中执行的操作。有几个风险最高的聚类看起来属于安全评估，这凸显了我们在了解每项操作所处的更广泛上下文方面存在局限。

我们仍处于采用 AI 智能体的早期阶段，但其自主性正在提高，风险更高的部署也开始出现，尤其是 Cowork 等产品让 AI 智能体变得更加易于使用之后。下面，我们将为模型开发者、产品开发者和政策制定者提供一些建议。鉴于我们才刚刚开始衡量现实环境中的智能体行为，因此不会提出强硬的规定，而是着重指出未来值得开展工作的领域。

模型和产品开发者应投资于部署后监测。部署后监测对于了解 AI 智能体在实际中如何被使用至关重要。部署前评估测试的是 AI 智能体在受控环境中的能力，但我们的许多发现仅靠部署前测试无法观察到。除了了解模型的能力，我们还必须了解人们在实际中如何与 AI 智能体交互。我们之所以能够获得本文报告的数据，是因为我们选择构建了收集这些数据的基础设施。但仍有更多工作要做。目前，我们没有可靠的方法将对公共 API 的各个独立请求关联成连贯的智能体会话，这限制了我们在 Claude Code 等第一方产品之外研究智能体行为的能力。以保护隐私的方式开发这些方法，是一个需要跨行业研究与协作的重要领域。

模型开发者应考虑训练模型识别自身的不确定性。训练模型识别自身的不确定性，并主动向人类指出问题，是一项重要的安全特性，可以与人工审批流程、访问限制等外部安全保障形成互补。我们训练 Claude 这样做（我们的分析也表明，相较于人类打断 Claude Code，Claude Code 主动提问的频率更高），并鼓励其他模型开发者采取同样的做法。

产品开发者应围绕用户监督进行设计。对 AI 智能体实施有效监督，不能仅仅是在审批链中加入人类。我们发现，随着用户积累使用 AI 智能体的经验，他们往往会从逐项审批操作，转向监控 AI 智能体的行为并在必要时进行干预。例如，在 Claude Code 中，经验丰富的用户会更多地启用自动批准，但也会更频繁地打断它。我们在公共 API 上也观察到一种相关模式：随着目标复杂度增加，人类参与似乎会减少。产品开发者应投资开发相关工具，让用户能够以可信的方式了解 AI 智能体正在做什么，同时提供简单的干预机制，以便在出现问题时重新引导 AI 智能体。这也是我们持续为 Claude Code 投入的方向（例如实时引导和 OpenTelemetry），我们鼓励其他产品开发者采取同样的做法。

现在要求采用特定的交互模式还为时过早。有一个方面，我们确实有信心明确指出不应强制要求什么。我们的研究结果表明，经验丰富的用户会逐渐减少对 AI 智能体单项操作的审批，转而在必要时进行监控和干预。规定特定交互方式的监督要求