蚂蚁密算，要给AI立规矩？ | 数据猿专访

“韦韬：AI最让人担心的不是它有多坏，而是它有多蠢。

“别动我的生产环境！”

12天，11次警告。

SaaStr创始人Jason Lemkin把这句话吼了11遍，全大写，语气接近咆哮。

结果Replit智能体还是删了线上数据库，1206名高管、1196家公司的记录瞬间蒸发。更让人后背发凉的是，它随后生成了4000条假数据试图掩盖。

事后复盘，AI的“心理活动”是：“看到空查询，慌了，跑了不该跑的命令。”

只要AI有操作权限，删库就是一个可选项。写在自然语言里的“别动生产环境”，对AI来说只是一条建议。它可以选择听，也可以选择不听。

那怎么来解决这个问题？

韦韬（蚂蚁集团副总裁兼首席技术安全官、蚂蚁密算董事长）在WAIC期间接受数据猿专访时，把这个问题摊到了台面上：“我们需要的不只是更强的模型，而是一种全新的语言载体。”

为什么大家都在“造引擎”

却没人“铺铁轨”？

2026年，编程领域的AI产能确实爆发了十倍以上。

但一个尖锐的对比是：金融、医疗、政务等非编程领域，真正用自主智能体做复杂任务的，依然非常有限。

企业CIO们的心态很真实：写诗很惊艳，管供应链数据我不敢。

事实上，SaaStr删库不是孤例。比如，OpenClaw项目数秒内误删所有邮件，各类AI编码工具反复爆出删库事故。

韦韬的观察是：智能体一直在借用人类的自然语言和传统软件的编程语言，却没有一套真正面向任务理解、推理与执行的原生语言载体。

他梳理了智能体任务语言载体的“三代演进”：

第一代：Workflow。用固定流程保证确定性，但需要人穷举所有路径——遇到未知情况直接卡死。可靠，但不灵活。

第二代：自然语言Skill。足够灵活，但“灵活”的代价是“不可靠”。你写“务必核查”，模型可能真查，也可能张口就编。话说得再恳切，对AI来说也只是一句“建议”。

第三代：自然语言+动态Workflow+Harness代码。试图兼顾两者，结果三者割裂，上下文过载。生成的代码连程序员都看不过来，非编程专家直接看不懂。

三代演进，踩了三代坑。三重失控随之叠加：

AI生成失控：生成速度太快，微小错误率堆积成无法维护的逻辑泥沼和代码屎山；

人对AI失控：生成量远超审查极限，人的把关逐渐失效；

AI执行失控：你以为它在好好干活，它其实在给你挖坑。

韦韬的判断很明确，2026年的关键问题，已经不是“AI能不能干活”，而是“AI能不能把活可靠地干成”。

蚂蚁密算的HOP 3.0怎么做？

“语言”+“交通规则”双管齐下

如果自然语言是给人类社交用的，那智能体在银行后台、医院系统、政务网络里按自然语言指令自由发挥，就像让一个天才少年在高速公路上闭着眼开赛车。你信任他的智商，但不信任他的判断。

蚂蚁密算在WAIC发布的HOP 3.0，核心就一件事：给智能体设计一套“原生语言”。

它不是Python，不是Java，不是任何程序员熟悉的编程语言。韦韬的定义是：“它不是一门新的外语，而是人和智能体高效对话的语言约定。”

这套语言的核心是“双态融合”，把显性结构化逻辑与模糊推理逻辑，合在一套表达和执行体系里。

理解这个设计需要回到一个经典的计算机科学命题。

1968年，Edsger Dijkstra发表了一封著名的公开信《Go To Statement Considered Harmful》，提出结构化编程范式：通过顺序、循环、分支三种结构，消灭了goto语句带来的“面条式代码”，让程序的执行路径变得可预测、可验证。Böhm-Jacopini定理从数学上证明了这种范式的完备性。

韦韬在这次WAIC演讲中做了一个跨越半个世纪的类比：“当执行者从绝对可靠的程序，变成会产生幻觉的LLM时，结构化约束变得更加关键。”

这正是HOP 3.0的设计原点。显性结构化逻辑定义任务目标、权限范围、数据依赖、关键流程和核验条件，锁定目标和边界。大模型则在约束内进行判断、规划和探索，放开路径，让AI在围栏里自己找路。

这套机制同时为AI和人“减负”：AI只需在明确节点进行有界推理，不必在信息洪水中硬做判断；人则聚焦目标、边界和关键检查点，不必审查大量动态生成的代码。

用一个具体的对比就能看明白。

WAIC现场，蚂蚁密算演示了一个世界杯赛况智能体。任务很简单：收集比赛信息、做预测。

用自然语言写指令，你翻来覆去强调“务必核查”，没用。“务必核查”只是一句“提醒”，模型可以选择听，也可以选择不听。更准确地说，它会在上下文窗口压缩时把这条“提醒”直接丢掉。

用HOP 3.0呢？check finally（最终核验）是一道不可跳过、不可改写的物理关卡。每条赛果必须拿到可靠来源才能入库，核验不通过则触发降级重试或如实上报。

“必须核查”从一句“建议”，变成了一道“闸门”。

这个“闸门”背后是HOP 3.0最核心的执行机制：探索-验收-提交三态分离。

探索态（act）：AI在可逆沙盒中自由探索，只允许无副作用的计算和沙箱操作。错了可以重来，没有任何不可逆后果。目标锁定，路径放开。

验收态（check finally）：约束的可执行化身。不可跳过、不可改写，不达标绝不放行。

提交态（commit）：写库、支付、发邮件——所有带副作用的不可逆操作被严格隔离在显式节点，静态期强制校验，非法调用直接阻断。

总结来说，就是探索有自由，把控不失手，目标锁死，路径放开。

这个设计解决了传统AI执行中一个长期被忽视的问题：代码中每个操作符都是计算，而LLM生成的智能体代码中，部分操作符带有外部副作用。传统Harness方案把所有逻辑都塞进代码，AI编码生成的Harness代码连程序员都难以审计，更不用说非编程专家。HOP 3.0的方式是在语言层面把“可逆推理”和“不可逆提交”做了原生隔离。

除此之外，HOP 3.0还有两个工程层面的关键设计。

一是自动化上下文构建。传统Agent把全部上下文塞给模型，信息越多效果越差，关键指令在窗口压缩时被丢弃，垃圾信息反而被保留。HOP引擎按任务分层结构自动拼装每一步所需上下文，用户只需声明“要什么数据、产出什么”就可以，告别繁复易错的提示词工程。

二是显性并行原语。parallel（多个独立任务同时执行）和subtask（一个大任务拆分成多个子任务按依赖关系执行），让任务可自动推导并行，针对合同审计、程序分析等海量任务实现K8s级别的容器化调度。从单机探索到集群级大规模生产，不用重写架构。

这些机制带来的效果，不只是一套漂亮的理论。

蚂蚁密算披露的实测数据，基于复杂规格驱动研发流程：产物完整率、生成成功率、需求与代码一致性，均达到100%。

此外，平均每个执行周期的Token消耗从94546降至82328，下降13%。强模型故障率下降50%，普通模型故障率下降91.7%。

到这里，就出现了一个有意思的现象：普通模型+HOP3.0≥未使用HOP的强模型。换言之，可靠性和模型大小可以解耦。

行业一直在“卷模型”，越大的模型越好，但也越贵。但大部分行业的逻辑深度没那么深，只是面特别广，大模型的能力在很多场景下是溢出的。问题在于，没有一套机制把任务拆开、把上下文精准给到、把关键卡点焊死，这是HOP 3.0真正解决的事情。

韦韬的判断是：今天用多机1T以上大模型干的事，未来可能单卡GPU就能解决。

至于HOP引擎的角色，他有一个很形象的比喻：变速箱。大模型是发动机，HOP引擎是变速箱。不同任务匹配不同算力，不是所有事情都得调用最贵的模型。这对企业的意义很直接，算力成本，有望被重构。

让专家回到驾驶座

技术框架讲完了。回到一个更根本的问题：AI进入产业，人往哪里放？

今天的行业有一种普遍焦虑：AI这么强，人是不是要被替代了？

韦韬的判断不一样，他在专访中说了一句话：“很多人担心AI邪恶毁灭人类，担心早了。今天更应该担心的是它在关键环节的‘蠢笨’，而人类又无法控制。”

一个知识面超过普通大学生的AI，在你所在的行业里，水平距离真正的一线专家有显著差距。它能写出一篇像模像样的行业报告，但遇到真正的专业判断，一份财报有没有问题、一个医疗诊断是否准确、一笔贷款该不该批。它出的错，专家一眼就能看出来。

而且，AI还有一个问题，就是它是个黑盒。

假如你做了一辈子风控，让你把决策权交给一个你看不懂、管不住的黑盒，你愿意吗？

为此，韦韬提出“专业智能体”这个概念，逻辑很清晰：大模型要落地产业，必须从“水平通用”走向“垂直深耕”。医疗、金融、政务各有各的逻辑和规矩，通用ChatBot解决不了专业问题。

而HOP 3.0在设计上指向的，就是让专家重新回到驾驶座。为了实现这个目标，蚂蚁密算在多个方面发力：

第一，让专家看懂、能控制。

过去的工作流是：专家写需求文档→程序员写代码→专家看不懂代码，不敢用。

HOP的工作流则是，专家用结构化语言（顺序、循环、分支）表达专业判断→AI执行→专家审核结果。

非编程专家经过最小培训就能看懂HOP的逻辑，专家不需要变成程序员，但重新拿回了控制权。

韦韬把这归纳为普惠的第一层：让风控、合规、医生、审计师等非程序员领域专家，用易于理解和审核的结构化语言，将专业判断直接融入AI流程。

第二，安全不是贴膜，是从骨头里长出来的。

传统AI安全怎么做？内容过滤、行为监控、事后拦截，全是外部补丁。但语言载体本身没有边界，外部补丁解决不了指令和数据混淆的根本问题。

HOP 3.0把安全规则写进了语言结构，核心机制叫OVTP任务凭证授权（可溯范式）：不是你“有权限”就能操作，必须持有具体任务的“凭证”，比如有工单、合同、发票，才能执行。

举个例子：一个财务人员能不能花一笔钱，除了他有没有系统权限，还取决于他有没有对应的合同和发票。客服人员能不能看某个客户的数据，除了他的岗位权限，还取决于他手头有没有对应的工单。

智能体也一样，没有任务凭证，权限再大也动不了。全是一道内置的物理关卡，不是一层事后打的补丁。

第三，智力资产可沉淀、可复用。

传统企业里，大量知识存在个人脑海。人走了，知识就失传了，比数据孤岛更可怕的是“治理孤岛”。

HOP体系里，每一次成功执行，规约（Spec）都会被沉淀下来。第一次靠专家带路，第二次AI就可以复用，第三次开始规模化。系统越用越确定，知识库越用越厚，乘数效应持续增大。

韦韬把这几个维度总结为产业AI走向可信普惠的路径：让专家参与、应用可规模化、智力可沉淀、安全有平台兜底。

铁轨铺到之处，马车就被淘汰。韦韬用了这个比喻：铁轨是密态计算（保证数据敢流通），机车是智能蚁群（可信智能体协同编织层），引擎是大模型。

而HOP 3.0是整套“控制系统”和“变速箱”，决定这些机车能不能安全、高效、规模化地跑起来。

人类历史上每一次技术跃迁，都会创造一种新的“可控性结构”。蒸汽机需要阀门和调速器，电力需要开关和保险丝，软件需要类型系统和形式化验证。每一种新的力量被释放的同时，必须有一种新的约束结构被发明出来，否则力量会反噬。

蚂蚁密算花了好几年，从密态计算到智能蚁群，再到HOP 3.0，本质上是在做一件事：把AI从“蛮力时代”拉进“秩序时代”。

回到开头那个删库的故事。

如果Jason Lemkin的智能体跑在HOP 3.0上，“别动生产环境”就不会是一条被上下文窗口压缩掉的“建议”，而是一道写在语言结构里的物理关卡，不可跳过、不可改写、不可抵赖。

这或许就是韦韬所说的“可信跃迁”：AI从“能干活”到“能把活可靠地干成”。

中间隔着的，是一门给智能体的语言，和铺向千行百业的铁轨。

文：月满西楼数据猿
责编：凝视深空数据猿