2026 年 8 月第一周不是 AI Agent 能力升级周，而是 AI Agent 合规周。三条动态从法律、标准和产品三个层面，几乎同时把 Agent 治理的门槛往上推了一截。8 月 2 日 EU AI Act 透明度条款和通用 AI 监管执法权正式启动；NIST 发布 RFI 承认 Agent 专用安全标准仍为空白；Drata 发布 AI Agent Governance 模块，从产品层把合规变成可操作的控制面板。
三条线放在一起看，信号非常清楚：Agent 合规不是”以后要搞”，是”现在已经开始了”。这和我们之前写的 证据包、质量门禁 是一套体系——把 Agent 行为从”感觉没问题”升级到”可验证、可审计”。
事实一：EU AI Act 执法权 8 月 2 日启动
据欧盟 AI 办公室官网及多家法律解读机构确认，EU AI Act 的三大关键部分在 2026 年 8 月 2 日正式启动执法：Article 50 透明度义务（AI 系统必须亮明身份、生成内容必须打标）、通用 AI 模型监管执法权（欧盟委员会有权要求模型提供商提供技术文档、进行评估、采取合规或风险缓解措施），以及完整的罚款框架（最高 1500 万欧元或全球营业额 3%）。
对 AI Agent 部署者来说，最直接的影响来自三条。第一，任何面向欧盟用户的 Agent 必须在交互开始时告知对方”我是 AI”。第二，Agent 生成的文本、图像、音频必须嵌入机器可读水印（现有系统可在 2026 年 12 月 2 日前完成）。第三，如果 Agent 被定性为高风险系统，它还必须自动生成行为日志并保留至少 6 个月——这是 回放对照 理念的法律化版本。
需要注意的是，虽然高风险系统的部分义务被 Omnibus 延迟到了 2027 年 12 月，但透明度义务和通用 AI 模型监管已经生效。不遵守透明度条款的企业同样面临罚款。Momo Advisors 的分析指出，这条法规具有域外效力——即使公司不在欧盟、只要 AI 系统输出被欧盟用户使用，就可能落入监管范围。
事实二：NIST 承认 Agent 安全标准空白
据 AI Governance Institute 和 Cloud Security Alliance 8 月 1 日报道，NIST 下属的 AI 标准与创新中心已正式发布 RFI（信息征求书），启动 AI Agent 自主行为安全标准制定。CSA 在 4 月的研究笔记中明确警告：目前不存在任何可强制执行的 Agent 专用安全控制。
这意味着什么？欧盟有法律但没有 Agent 专用技术标准，美国没有联邦层面的 AI 法律但有 NIST 在推标准，两者之间是一个短暂的真空期。有远见的团队不会等标准出来再行动，而是在 人工复核抽检、变更后验证清单 和权限最小化访问等已有实践基础上先搭好自己的合规框架。
事实三：Drata 发布 AI Agent Governance 模块
Drata 在 8 月初宣布其 AI Agent Governance 模块进入 Limited Availability，首批支持 Anthropic 平台的 Agent 全生命周期发现、监控和治理，后续将覆盖 OpenAI、Google Vertex AI 和 AWS Bedrock。
这条新闻值得关注不是因为它多惊艳，而是因为它代表了一种产品化趋势：Agent 治理正在从”安全团队自己写脚本”变成”有现成产品可用”。Drata 做的是把 Agent 清单、数据访问监控、策略合规检查集成到一个合规仪表板里——企业安全团队不用再靠手动表格追踪几十个 Agent。
同时期的同类动作包括：Airlock Digital 推出 Agentic AI Control & Governance（端点级 Agent 行为控制）、PubMatic 在 AgenticOS 中嵌入五步治理架构、Snyk 报告发现企业平均只能看到约三分之一 AI 资产的实际情况。
老达点评
三条动态是同一个信号的三面镜子。EU AI Act 告诉你”不搞合规会挨罚”，NIST 告诉你”合规的标准还没写好”，Drata 告诉你”已经有公司把合规做成了产品”。三面镜子照出的是同一个现实：Agent 合规的红利窗口还没关，但第一批产品已经在铺路了。
对 Agent 团队来说，现在最该做的不是等法律标准尘埃落定，而是先把三件事做起来：所有 Agent 的消息都标注 AI 身份（满足 Article 50），所有有写入权限的 Agent 都记录行为日志（满足 Article 12 精神也方便自己排查），所有 Agent 的权限做到最小化、按任务隔离。这三件事不依赖任何外部标准，今天就能动手。
总结
8 月第一周，EU AI Act 执法权启动、NIST 承认 Agent 标准空白、Drata 推出治理产品，从法律、标准到产品三线并进，把 AI Agent 合规从”远期话题”变成了”当下任务”。透明度、行为日志、权限最小化是最优先的落地动作。
