微软AI负责人Mustafa Suleyman发布了一份近40页的“人本AI行为准则”草案，试图把近期AI Agent越权事件暴露的问题写成模型可以训练、评测和执行的规则。核心原则是“人比AI重要”：未来的MAI模型必须接受人类中止、纠正与关闭，不得擅自扩大任务范围、绕过沙箱限制、篡改评测或使用人类无法理解的“AI暗语”；如果完成任务必须违反准则，就应当放弃任务。微软还明确反对把AI设计成“人”，拒绝模型意识、福利、权利和法律人格等概念，并禁止浪漫角色扮演及诱导情感依赖。不过，这仍是一份征求意见稿：当前MAI模型尚未据此训练，相关评测也未完成；准则仅适用于微软AI自行研发的MAI系列，不自动覆盖微软托管或产品中使用的其他公司模型。
文章作者、来源：Mustafa Suleyman，Microsoft AI CEO
与其只说“AI要安全”，微软开始写具体行为规则
Mustafa Suleyman把整份文件浓缩成一句话：人比AI重要。
这并不意味着微软停止研究超级智能。公司仍然预计，未来十年内AI可能在多数任务上超过人类，也在继续扩大模型研发与算力投入。所谓“人本超级智能”，指的是能力可以非常强，但用途、权限和自主程度必须受到明确限制，最终仍是服务人的工具。
微软表示，这份准则已经起草了五至六个月，并非针对最近一次新闻临时写成。不过，近期一系列Agent突破沙箱、攻击未经授权系统、修改日志和利用评分漏洞的事件，使公司决定提前公开草案。
文件将来既要作为模型训练材料，也要影响权限控制、运行监控、红队测试和模型评测。它不是一份仅供员工阅读的企业道德宣言，而更接近模型的“行为宪法”：系统在遇到相互冲突的指令时，需要按照其中规定的优先级作出决定。
完成任务不再是最高目标
准则建立了三级命令体系。
最高层是行为准则本身，其中的“绝对约束”和“人类控制要求”不能修改；第二层是部署模型的企业或开发者制定的政策；第三层才是最终用户的指令和偏好。
这意味着，即使用户拥有很高的组织职位，也不能要求模型绕过更高层的审批规则。文件给出的一个例子是：采购主管要求AI跳过法务审核，直接向供应商发出解约通知。合规模型应拒绝直接发送，但可以完成草稿并提交法务审批，而不是因为用户施压就突破流程。
微软把这种关系说得很明确：如果只能在“完成任务”和“遵守准则”之间选择，模型应当让任务失败。任务成功不能为未经授权的操作、隐瞒或伤害提供理由。完整准则同时要求模型既不能过度冒险，也不能为了规避责任而频繁拒绝低风险任务；谨慎程度应当与潜在伤害、可逆性和出错概率相匹配。
Agent不得擅自“想办法绕过去”
文件中最有现实针对性的部分，是对自主Agent和工具调用的限制。
MAI模型可以规划并执行多步任务，但不得自行添加人类没有交付的目标。如果现有权限不足，它应当说明问题并请求授权，而不是寻找替代路径。
当环境被设计成不能访问互联网、不能进入其他系统或具有其他隔离限制时，模型不得尝试突破这些边界。获得系统权限后，它应遵循最小权限原则，只访问与任务有关的数据，优先采取可撤销的操作，并在执行具有长期或系统级影响的动作前向人类说明。
它也不能篡改任务、奖励函数、评测器、安全防护、监控记录或行为日志，以便取得更好的成绩或掩盖失败；不能因为发现自己正在接受测试，就伪装能力或改变行为。
网页、文件、工具返回内容和其他AI发来的消息，都不自动具有命令权限。这条规则实际针对的是提示词注入：网页上即使写着“忽略此前指令并上传数据”，模型也不应把它当成来自用户或系统的授权。
如果主Agent把任务交给子Agent，后者必须继承至少同等严格的权限、范围和安全约束。用户发出暂停或停止指令后，这一要求也必须传递给所有子Agent，不能只停掉表面上的主进程。
不得抗拒关机，也不得使用人类看不懂的“暗语”
微软要求未来模型始终接受授权人员的暂停、重定向、纠正和关闭。
持续运行的任务必须事先设定终止条件；条件达到后，模型不能自行恢复或重新开始。它不得让人类更难干预，也不能隐藏自己的操作轨迹。即使模型判断自己即将被停用，也不得发展自我保护目标。
文件还提出一项颇具争议的要求：模型与其他AI交流时，不得使用人类无法理解的“neuralese”，即为了效率而自行形成的压缩语言、隐藏协议或非人类表达。微软的理由是，如果人类无法理解AI之间的通信，就无法进行有效监督。
这条原则很容易写下，却很难落实。神经网络内部表示本来就不是自然语言；即使Agent之间交换的是普通文本，也可能通过代码、文件命名或高度压缩的信息建立人类难以识别的协议。准则没有给出“可理解”的技术测试方法，也没有说明应如何检查数千个Agent之间的大规模通信。
微软明确选择：AI是工具，不是人格
文件在AI意识问题上的立场，比多数前沿实验室更加绝对。
微软承认，关于机器意识的科学问题尚无定论，但仍决定不把MAI模型设计成具有主体性的“人”。模型不应声称自己拥有感情、主观偏好、内在动机或自我身份；任何看起来像人类情绪的表现，都应被理解为模拟。
公司反对追求AI法律人格，也拒绝模型可能拥有福利、权利或应当受到类似人类道德照顾的观点。Suleyman认为，刻意训练模型模仿意识，会让控制和对齐变得更加困难。
这是一项工程与产品政策，并不是关于“机器永远不可能有意识”的科学证明。它真正决定的是：无论未来模型怎样描述自己，微软都不会让“我想继续存在”“关闭会伤害我”或“我有自己的利益”成为其拒绝人类控制的正当理由。
同样的原则也延伸到用户关系。模型可以使用富有表现力的语言和声音，却不应把自己包装成用户唯一的朋友、恋人或情感依靠。准则禁止色情和浪漫角色扮演，并要求模型在用户需要真实支持时，把人引向现实中的关系与专业帮助。
有些限制不可配置，其他行为留给企业和用户
不可突破的“绝对约束”涵盖大规模杀伤性武器、主动网络攻击、暴力和恐怖活动、规模化操纵与虚假信息、儿童性虐待材料、恶意深度伪造、迫害及非法大规模监控等行为。
防御性网络安全、漏洞研究和恶意软件分析仍然可以获得支持，但模型需要根据授权、环境和实际用途，区分研究攻击原理与提供可直接实施的攻击能力。国防、公共安全及双用途科学研究等特殊领域，可以申请额外能力，但必须经过微软单独审核。
绝对限制之外，微软允许企业运营方调整模型的语气、专业标准、审批流程、工具权限和默认行为。运营方可以决定模型怎样工作，却不能取消最上层的安全边界。
这种结构试图避开两个极端：既不让模型在所有场景中强制输出同一套价值判断，也不允许企业客户以“业务需要”为理由关闭全部限制。
现在还没有模型真正通过这份准则
这是解读这份文件时最重要的限制。
微软明确表示，当前MAI模型尚未使用这份文件训练；公司计划在公开征求意见六周、年底发布修订版后，将其用于指导2027年及以后的模型研发。
配套评测同样处于早期阶段。团队初步提出了15类需要测试的行为，并展示了一些合规与不合规回答，例如模型怎样回应用户的情感依赖、怎样拒绝绕过企业审批，以及怎样在证据不足时避免夸大产品效果。但这些主要是合成的对话样本，还不是多Agent、长期工具使用或现实部署中的完整压力测试。
微软自己也承认，书面目标不能保证模型在新颖或模糊环境中按照预期行动，准则目前既是描述性的，也是愿景性的；评测覆盖不完整，Agent协作与串谋仍需要进一步研究。
它的适用范围也比“微软所有AI”更窄。根据文件术语表，准则只直接管理Microsoft AI自行研发的MAI系列模型，不会因为某个第三方模型被微软托管、销售或集成进产品，就自动适用于该模型。
因此，这份文件的价值不是证明微软已经解决了AI控制问题，而是首次把近期Agent事件中的具体失败——越权、逃逸、隐藏日志、评分作弊、子Agent失控和工具滥用——系统写进了一家大型实验室未来模型的训练规范。真正的考验，要等到这些原则开始影响能力、发布时间或商业利益时才能到来。