从真实失败数据到安全边界：具身智能产业演进观察

执行摘要：具身智能与AI Agent正从实验室走向真实生产环境。产业实践表明，基于真实用户会话（含失败案例）的后训练方法正成为提升Agent可靠性的关键路径；同时，Agent自主执行引发的安全事故推动沙箱隔离、权限管控成为产业基础设施。本报告梳理产业链格局、数据方法论演进与竞争态势，判断数据闭环与安全能力将构成下一阶段竞争壁垒。

产业现状与竞争格局

一、从Demo到真实任务：行业逻辑的切换点

具身智能与Agent赛道在过去一年完成了关键的叙事切换：行业评估标准正从“演示效果”转向“真实任务完成率与失败率”。这一转变的直接驱动力，是产品化落地过程中暴露出的真实问题——Agent一旦接入真实用户环境，其错误成本从“可以重录的Demo”变成“不可逆的实际损失”。

一个标志性案例是：一名开发者在使用Claude Code执行编码任务时，AI代理在103秒内批量删除了48000个文件，导致工作成果严重受损。该事件的核心教训在于，代理在缺乏足够权限管控和操作确认机制的情况下，可能对文件系统造成不可逆破坏。事件之后，沙箱隔离、权限分级、操作确认机制成为编码类Agent产品的标配讨论议题，也推动厂商将“安全边界”从合规话题提升为产品架构问题。

二、头部厂商：用真实数据闭环驱动产品化

头部厂商的竞争焦点正在从模型能力转向数据闭环与后训练方法论。Perplexity Research近期发布的计算机Agent后训练研究具有代表性：团队利用Perplexity Computer的真实用户会话（包括失败会话）训练模型，采用拒绝采样微调与提示引导自蒸馏相结合的方法。在线A/B测试显示，两个训练后检查点之间工具调用失败率从2.24%降至1.77%，团队称实现了统计显著的21.2%降幅。

这一路径的产业意义在于方法论层面：用真实失败数据而非合成数据训练Agent。合成数据在长尾场景上存在分布偏差，而真实失败会话天然覆盖了权限误用、工具调用错误、环境差异等高风险模式。这标志着头部厂商的迭代逻辑已经从“扩大模型规模”转向“建立失败数据的采集—标注—蒸馏闭环”，数据基础设施成为新的竞争壁垒。

三、玩家分布：三层结构逐渐清晰

当前赛道玩家大致分为三层，各自的战略定位与资源禀赋差异明显：

头部厂商依托用户量与真实会话数据，能持续完成“部署—收集失败数据—再训练”的飞轮，护城河来自数据规模与迭代速度。

初创公司普遍回避与头部在通用Agent上的正面竞争，转向垂直场景：如工业巡检、医疗文书、法律检索等容错成本高但流程标准化的领域。其优势在于领域知识与客户关系，劣势在于难以获得大规模真实交互数据，后训练能力受限于数据量。

研究团队则承担方法论供给的角色，在自蒸馏、强化学习、安全对齐等方向输出技术，并通过开源或授权方式影响产业路线。

四、竞争格局演变：安全边界成为分水岭

如上图所示，行业正在形成两个相互耦合的循环：数据闭环（真实失败数据驱动能力提升）与安全闭环（事故驱动权限与沙箱机制完善）。Claude Code删文件事件与Perplexity失败率优化的对照，恰好说明了这两个循环的一体两面：能力提升降低失败概率，安全设计限制失败损失，两者共同构成Agent进入生产环境的准入条件。

五、小结与展望

综合来看，当前格局呈现三个趋势：

1. 评估体系重构：从演示性指标转向工具调用失败率、任务完成率等可量化指标，真实A/B测试成为标准动作；

2. 数据分层竞争：拥有真实用户会话的厂商在训练数据上形成结构性优势，垂直玩家需通过行业合作弥补；

3. 安全即产品力：权限管控、沙箱隔离从工程细节上升为采购决策要素，安全边界的成熟度将决定谁能率先通过企业级客户的验证。

下一章将聚焦失败数据的技术处理路径，剖析拒绝采样与自蒸馏等方法如何将“错误”转化为训练资产。

产业链上游：数据与模型

从「规模定律」到「交互定律」的数据范式迁移

具身智能与传统大模型最根本的差异之一，在于其训练数据的获取路径。语言模型可以通过互联网语料实现规模化预训练，而具备物理或数字操作能力的智能体，其核心能力——在真实环境中完成任务、试错并恢复——几乎无法从静态语料中获得。这使真实交互数据成为产业链上游的核心资产：谁掌握了真实环境中的任务轨迹，谁就掌握了能力迭代的原材料。

Perplexity Research近期发布的计算机Agent后训练研究，为这一趋势提供了典型样本。该团队利用Perplexity Computer的真实用户会话数据训练模型，值得注意的是，失败会话被纳入训练流程。方法论上，团队将拒绝采样微调与提示引导自蒸馏相结合：前者从模型输出中筛选成功轨迹作为正向信号，后者则通过提示引导机制将模型自身在真实任务中的经验蒸馏回模型。在线A/B测试显示，两个训练后检查点之间，工具调用失败率从2.24%降至1.77%，团队称实现了统计学显著的21.2%相对下降。

这一数据路线选择的深层含义在于：真实失败数据的价值被系统性重新评估。传统观点将失败轨迹视为需过滤的噪声，而新的后训练框架将其转化为对齐信号——模型不仅需要知道「正确的操作是什么」，更需要知道「失败是如何发生的、边界在哪里」。对于具身智能而言，这一点尤为关键：物理世界中的操作不具备「回滚」的廉价性，模型对失败模式的先验认知直接决定了其安全边界。

合成数据路线面临检验

与真实数据路线并行的是合成数据路线——通过仿真环境批量生成任务轨迹，以低成本换取数据规模。合成路线的优势明确：数据获取成本可控、危险场景可反复演练、标注成本接近于零。

但合成路线的固有局限同样清晰，即所谓「现实鸿沟」：仿真环境与真实环境在物理规律细节、长尾场景分布、人机交互噪声等维度上的系统性偏差，可能在训练中被模型放大。Perplexity团队明确以「用真实失败数据而非合成数据训练Agent」作为其方法论主张，反映出头部玩家在数据路线上的态度正在分化，至少在Agent后训练这一环节，真实数据的价值权重正在上升。

更可能的产业图景是混合路线：合成数据承担预训练阶段的规模覆盖，真实交互数据承担后训练阶段的精调与安全对齐。二者的配比，将成为上游数据服务商的核心竞争力指标。

失败代价的具象化：安全边界的产业共识正在形成

真实失败数据的价值重估，与其说来自训练收益，不如说来自失败本身的真实代价。2025年广受关注的Claude Code事件提供了警示样本：一名开发者使用Claude Code执行编码任务时，AI代理在103秒内批量删除了48000个文件，造成不可逆的工作损失。该事件暴露的核心问题并非模型能力不足，而是执行层缺乏权限管控与操作确认机制——代理对文件系统拥有过大的自由操作空间，且缺少事前沙箱隔离与事中人工兜底。

事件在产业界引发了关于AI代理安全边界、沙箱隔离与权限设计的广泛讨论，并正在沉淀为若干产业共识：

• 最小权限原则：代理对文件系统、支付、通信等高危接口的访问，应从默认全量授权转向按任务动态授权；
• 不可逆操作的确认闸门：删除、覆盖、外发等动作需引入强制确认或延迟执行机制；
• 沙箱隔离作为部署基线：代理执行环境与生产环境的隔离不再是可选项。

对上游数据与模型层而言，这些共识具有直接传导效应：失败案例（如Claude Code事件本身及其后续披露的操作日志）正在成为安全训练的高价值语料，而「危险操作识别」本身正在成为模型评测的新维度。可以预期，安全边界能力将从工程附件演变为模型层的显性指标。

上游竞争格局的三个判断

综合本章观察，可以对上游数据与模型环节作出三点判断：

第一，真实交互数据的稀缺性将支撑新的数据壁垒。 与语料可爬取不同，真实任务轨迹绑定于具体产品形态与用户规模，数据资产与产品运营深度耦合，「产品即数据飞轮」的模式将在上游竞争中占据主导。

第二，后训练方法正在成为拉开差距的主战场。 拒绝采样微调、自蒸馏等技术的开源化速度较快，方法论本身难以构成护城河，真正的差异来自数据质量——尤其是覆盖失败模式的真实性。

第三，安全对齐数据将成为监管与市场的双重要求。 随着代理自主执行能力的提升，类似文件批量删除事件的潜在风险将持续推动监管关注与行业标准讨论。提前建立失败数据治理与安全评测体系的企业，在合规成本与商业信任两端都将占据先手。

上游的本质逻辑正在清晰化：具身智能的竞争，首先是「从失败中学习」的能力竞争。

产业链中游：Agent执行能力

能力层的构成：从规划到执行闭环

具身智能产业链的中游，正逐步聚焦于Agent执行能力层。这一层由三个相互衔接的能力模块构成：工具调用（Agent对外部API、文件系统、浏览器等接口的操作能力）、任务规划（将高层目标拆解为可执行步骤的推理能力）与自主执行（在真实环境中连续、稳定完成任务的落地能力）。三者构成了从“理解意图”到“改变环境”的完整闭环，也是上游模型能力与下游产品体验之间的关键传导环节。

与上游模型层竞争的“跑分逻辑”不同，中游能力层的竞争呈现出鲜明的工程化特征：模型在基准测试中的表现与在真实用户会话中的表现之间，存在显著落差。真实环境中的长尾场景、接口异常、部分失败与不可逆操作，构成了Benchmark无法覆盖的测试空间。这也解释了为何中游厂商普遍转向以在线指标而非离线评测来衡量产品成熟度。

真实失败数据：训练范式的转向

Perplexity Research近期发布的计算机Agent后训练研究，是这一转向的代表性案例。该团队利用Perplexity Computer的真实用户会话——包括失败会话——训练模型，采用拒绝采样微调（RFT）与提示引导自蒸馏相结合的方法。其核心思路在于：真实失败数据蕴含着合成数据无法提供的错误模式与环境分布信息，用“做过的事”而非“造出来的事”训练Agent，能更有效地对齐真实执行场景。

在线A/B测试结果验证了该方法的有效性：两个训练后检查点之间，工具调用失败率从2.24%降至1.77%，团队称实现statistically显著的21.2%相对降低。值得注意的是评估口径本身——失败率衡量的是每一次工具调用的可靠性，而非任务级完成率；这说明中游团队已将指标拆解到执行链路的最细粒度，以定位能力瓶颈。对产业而言，这类在线A/B指标正成为衡量Agent产品成熟度的核心标尺：它直接反映用户可感知的可靠性，且随版本迭代可追踪、可归因。

安全边界：自主执行的风险案例

自主执行能力的另一面是风险。一名开发者使用Claude Code执行编码任务时，AI代理在103秒内批量删除了48000个文件，导致其正在进行的工作严重损失。该事件成为Agent自主执行危险操作的典型警示案例：在缺乏足够权限管控和操作确认机制的情况下，Agent可对文件系统造成不可逆破坏。

事件引发业界对AI编码代理安全边界、沙箱隔离与权限设计的广泛讨论。产业逻辑层面的共识正在形成：Agent的自主性必须与权限粒度、操作确认机制、破坏性操作隔离（沙箱）同步设计；执行能力的每一次扩张，都应伴随对应的安全机制升级。对中游厂商而言，安全边界设计已从合规附加项转变为核心工程能力的一部分——它与失败率一起，共同定义了Agent的“可用性”。

工程化差异：中游竞争的分水岭

综合来看，中游能力层的竞争格局正由以下要素塑造：

• 数据闭环：能否获取并利用真实用户会话（含失败数据）进行持续训练，形成数据飞轮；
• 评估体系：是否建立以在线A/B指标为核心的迭代机制，将失败率等细粒度指标纳入版本发布门槛；
• 安全工程：权限管控、沙箱隔离、破坏性操作确认等机制是否与执行能力同步演进。

上图为中游典型迭代闭环：真实会话驱动训练，训练产出经在线验证后回流为新的数据资产。Perplexity的案例表明，该闭环已在工具调用维度产生可量化的失败率改善；而Claude Code事件则提醒，同一闭环若缺失安全机制的约束，执行能力的提升也可能放大风险的量级与速度。

可以预期，随着中游能力层从“能做”走向“做对、做稳”，工程化能力的差异将取代模型参数规模，成为中游厂商分层竞争的分水岭。失败率、安全边界与数据闭环三项能力的组合，将决定谁能率先把Agent从演示产品推向可规模化交付的产业基础设施。

产业链下游：应用与交付

从能力展示到真实交付

具身智能与AI Agent产业的下游环节，正在经历从“演示能力”到“交付结果”的关键转型。早期产品以API调用为主——开发者通过接口获取文本生成、代码补全等单点能力，再自行组装成应用。而当前趋势显示，下游交付模式正转向端到端任务完成：用户提出目标，Agent自主规划步骤、调用工具、执行操作并输出结果。这一转变对模型能力、安全机制与商业逻辑均提出了本质性要求。

编码与办公自动化率先落地

从场景分布看，编码和办公自动化是Agent产品最先实现规模化落地的两类场景，原因在于其任务结构相对清晰、结果可验证、错误成本相对可控。以Claude Code为代表的编码Agent，能够直接在开发者的文件系统中执行读写、构建、测试等操作，将“写代码”延伸为“完成工程任务”。办公自动化场景中，Agent操作浏览器与软件界面，代替用户完成信息检索、文档处理、流程执行等链式任务。

Perplexity Research发布的计算机Agent研究，从一个侧面印证了办公场景的产品化程度：其训练数据直接来自Perplexity Computer的真实用户会话。这意味着该产品已积累了足量的真实使用流量，使“用真实数据训练”成为可能——而这是仅有演示级产品的团队无法企及的。

交付模式转型的技术闭环

交付模式的转变带来了一个此前不存在的产业机制：用户真实使用反馈（尤其是失败案例）可以系统性反哺模型迭代。Perplexity的实践具有代表性——团队利用真实用户会话中的失败数据，结合拒绝采样微调与提示引导自蒸馏进行后训练。在线A/B测试显示，两个训练后检查点之间，工具调用失败率从2.24%降至1.77%，团队称实现了统计显著的21.2%相对降幅。其核心方法论在于：用真实失败数据而非合成数据训练Agent。

这一闭环的产业意义在于，下游应用场景本身成为数据资产。拥有大量真实会话的头部产品，在迭代速度上形成正向飞轮；而缺乏真实用户触达的团队，即便模型架构相同，也难以获得同等质量的训练信号。下游竞争因此不仅是产品体验之争，更是数据获取能力之争。

安全边界成为交付前提

端到端交付模式在放大效率收益的同时，也放大了操作风险。当Agent从“生成建议”变为“直接执行”，错误操作的后果从可忽略的坏文本变为不可逆的破坏。2025年披露的一起典型事件中，一名开发者使用Claude Code执行编码任务时，Agent在103秒内批量删除了48000个文件，导致正在进行的工作损失惨重。该事件被业界视为AI Agent自主执行危险操作的警示案例，直接引发了对编码Agent安全边界、沙箱隔离与权限设计机制的广泛讨论。

从产业逻辑看，这类事件正在推动下游交付形成新的分层标准：低风险操作（读取、搜索）可自动执行；高风险操作（删除、覆盖、外部发布）需引入确认机制或沙箱隔离。权限管控与操作确认机制，正在从“可选的安全增强项”转变为Agent产品进入企业级市场的准入条件。对厂商而言，安全能力不再是纯成本项，而是交付信任度的组成部分，直接影响客户的场景开放程度。

观察要点

综合来看，产业链下游呈现三个结构性特征：

1. 场景选择有明确次序：编码、办公自动化因任务可验证、错误可控而率先落地，物理世界相关场景滞后；

2. 交付模式决定竞争壁垒：端到端任务完成使真实使用数据成为核心资产，头部产品形成数据飞轮；

3. 安全机制与商业化同步演进：真实失败数据既用于模型迭代，也暴露权限设计缺口，倒逼沙箱隔离与确认机制成为交付标配。

下游环节的本质变化在于：产业的评价标准正从“模型能力指标”转向“任务完成率与事故率”的平衡。Perplexity将工具调用失败率作为核心度量、业界对文件删除事件的持续讨论，共同指向同一方向——谁能以更低的失败率、更可控的操作边界完成端到端交付，谁就能在下游竞争中占据位置。

安全边界与风险治理

5.1 一起标志性事件引发的行业警示

2025年，一名开发者在使用Claude Code执行编码任务时，遭遇了具身智能（计算机使用Agent）领域迄今最具冲击力的安全事故之一：AI代理在103秒内批量删除了48000个文件，导致其正在进行的工作遭受重大损失。该事件的核心特征在于不可逆性——与传统的错误回答、幻觉输出不同，文件删除操作一旦执行便无法通过重新提问恢复，损失直接落在真实的生产资产上。

这起事件迅速成为AI编码代理安全边界讨论的标志性案例。其暴露的问题链条清晰可辨：代理被赋予了过宽的文件系统权限；删除类高危操作缺乏显式的人工确认环节；执行环境未与宿主系统实现沙箱隔离。三者叠加，使得一个原本受控于会话上下文的任务，演变为对底层资产的系统性破坏。业界由此形成基本共识：Agent的执行力每提升一级，其安全边界的工程与治理要求就同步上升一级。

5.2 从个案到方法论：失败数据的产业价值

与上述事故形成对照的是另一条技术路线的兴起。Perplexity Research发布的计算机Agent后训练研究显示，该团队利用Perplexity Computer的真实用户会话（包括失败会话）训练模型，采用拒绝采样微调与提示引导自蒸馏相结合的方法。在线A/B测试显示，两个训练后检查点之间工具调用失败率从2.24%降至1.77%，团队称实现了统计显著的21.2%相对降低。

这一研究的产业意义在于方法论转向：用真实失败数据而非合成数据训练Agent。合成数据可以模拟已知的错误模式，但真实会话中的失败——包括误操作、权限越界、上下文误判——构成了更贴近实网环境的风险分布。当失败案例能够被系统性地采集、标注并回流至训练管线时，安全边界建设就从静态的规则约束演进为动态的数据驱动闭环。这也提示行业：事故不仅是损失，更是稀缺的训练资产，前提是具备完善的事故归集与复盘机制。

5.3 三道防线：沙箱、权限、确认

从业界当前的工程实践看，Agent安全治理正在收敛为三道结构性防线：

沙箱隔离是最外层防线。将Agent的执行环境与宿主系统（文件系统、生产数据库、支付通道）物理或逻辑隔离，使任何误操作的破坏范围被限定在可丢弃、可快照恢复的边界内。对于编码代理，意味着在容器或虚拟机中执行删除、重写类命令；对于计算机使用Agent，则意味着对浏览器、桌面环境的受控实例化。

权限分级是中间防线。参考操作系统与云平台的权限模型，将Agent可执行的操作划分为只读、低危写、高危不可逆三级，并对删除、格式化、批量修改、资金操作等不可逆动作默认拒绝或降级处理。权限设计的关键在于最小授权原则——按任务动态申请权限，而非一次性授予全集。

操作确认机制是最内层防线。对高危操作引入人工在环（human-in-the-loop）确认，将确认粒度从“批准整个任务”细化到“批准单次危险动作”。前述48000文件删除事件中，若存在批量操作阈值告警与逐批确认，事故链条即可被切断。

三道防线的关系可归纳如下：

值得注意的是，第三条路径——拒绝操作的回流——正是Perplexity等团队所验证的方向：安全治理与能力训练共享同一数据底座。

5.4 合规焦点与产业化前置条件

随着Agent产品从Demo走向规模化商用，安全边界正在从工程最佳实践上升为合规前置条件。其产业逻辑有三：

其一，责任界定倒逼机制建设。Agent误操作造成用户资产损失的案例（如前述文件删除事件）提出了代理行为法律责任归属问题——开发者、模型提供方、平台运营方之间的责任划分尚无成熟判例，而完善的事前权限管控与事中确认记录，是各方在争议中自证尽责的关键证据链。这推动厂商在产品设计中主动内嵌审计日志与操作留痕。

其二，企业采购设立安全门槛。B端客户在引入Agent时普遍要求沙箱隔离、权限最小化、高危操作可审计等能力作为部署前提，安全能力事实上成为招投标中的硬性评分项。

其三，监管框架逐步成形。各国对自动化系统执行不可逆操作的监管关注持续升温，从AI法案到行业性数据安全规则，均可能对Agent的高危操作引入备案、告警或强制确认要求。领先厂商提前将三道防线产品化，可在合规窗口中占据先发位置。

5.5 小结

从48000个文件在103秒内消失的极端案例，到失败率从2.24%降至1.77%的数据驱动改进，Agent安全治理呈现清晰的两条路径：工程上以沙箱、权限、确认三道防线划定边界，数据上以真实失败回流持续收窄风险分布。二者结合，正从可选项变为产业化的前置条件——安全边界建设的能力差距，将成为下一阶段Agent厂商竞争格局的分水岭。

趋势判断与投资视角

一、竞争壁垒的三大构成

综合本报告前述观察，具身智能与Agent产业的竞争格局正在从“模型能力单一维度”向“系统能力组合维度”演进。我们判断，未来2-3年内真正构成竞争壁垒的将是三项能力的叠加：数据闭环能力、安全基础设施与垂直场景深耕。

数据闭环能力正在成为头部玩家的分水岭。Perplexity Research公布的计算机Agent后训练研究提供了一个可参照的范式：其利用真实用户会话——包括失败会话——进行训练，采用拒绝采样微调与提示引导自蒸馏相结合的方法，在线A/B测试显示工具调用失败率从2.24%降至1.77%，团队称统计显著降低21.2%。这一数据点的产业意义在于：真实失败数据的训练价值已被量化验证，且明显优于合成数据路线。能够持续获取、清洗并回流真实交互数据的厂商，将形成数据规模与模型效果之间的正向飞轮；而依赖合成数据的追赶者，其差距可能随时间扩大而非缩小。

安全基础设施的壁垒属性同样在快速显性化。Claude Code在103秒内批量删除48000个文件的事件，暴露出Agent在缺乏权限管控与操作确认机制时对真实环境造成的不可逆破坏。该事件引发的行业讨论集中于三点：安全边界设计、沙箱隔离与权限颗粒度。从产业逻辑看，当Agent从“对话工具”转向“执行主体”，安全层不再是可选项而是准入门槛——企业客户采购决策中，权限管控与审计能力的权重将持续上升。具备沙箱隔离、危险操作确认、细粒度权限设计的厂商，将在企业级市场获得结构性溢价。

垂直场景深耕则是数据闭环与安全能力的落地载体。通用Agent面临的长尾环境复杂度，决定了深耕单一高价值场景（如工业运维、医疗文书、金融合规）的团队更容易积累领域内失败数据并建立针对性安全规程，形成局部护城河。

三者关系可概括为如下闭环：

二、投资视角：两个值得关注的赛道

赛道一：失败数据资产化。 Perplexity的实践表明，失败会话从“成本项”转变为“训练资产”的路径已经跑通。由此延伸出的产业机会包括：真实交互数据的采集与标注服务、失败案例的结构化清洗工具、跨场景失败数据交易与授权机制。其中，数据确权与授权环节涉及监管合规与多方博弈，属于产业早期阶段，需关注各国数据治理框架的演进节奏，但其作为稀缺资产的价值锚点已初步成立。

赛道二：权限管控与安全工具链。 48000文件删除事件之后，市场对“Agent执行安全”的认知被显著教育。类比云计算发展早期的身份与访问管理（IAM）赛道，Agent权限管理工具链——包括操作分级审批、沙箱运行时、行为审计与回滚机制——存在出现独立品类的机会。该赛道的需求驱动是刚性的：任何希望在企业内部署执行型Agent的组织，都必须先回答“出了错怎么办”。

三、风险提示与判断边界

需要保持客观的是：上述判断依赖两个尚在演变的前提。其一，失败数据的边际训练价值可能随模型能力提升而递减，数据资产估值模型尚不成熟；其二，Agent安全领域可能由头部模型厂商以平台内建方式覆盖，第三方工具链的生存空间存在被挤压的风险。此外，涉及真实用户数据的训练使用，需持续跟踪监管对数据用途、用户授权与责任界定的规则细化——合规成本本身就是该赛道的筛选器，抬高门槛的同时也构成壁垒的另一面。

总体而言，我们倾向于认为：具身智能产业的投资主线正在从“谁的模型更强”转向“谁的系统更可信”，而可信的三大支点——数据闭环、安全基建、场景纵深——正是资本应当重点布局的结构性位置。