Google 为 Android 的 AI Agent 建好了安全笼子，但里面还是空的

Android Police 的 Ali Salman Zia 在 9 月 13 日的报道中记录了一次找开关的过程。听说 Google 要把控制 AI Agent 的设置带到 Android 之后，他在自己的 Pixel 手机里翻找，没有开关，没有权限列表，也没有任何可以点开的东西；最终他在开发者文档、SDK 发布说明和一份大多数 Android 用户永远看不到的权限注册表里找到了答案。

答案是，Google 确实为 Android 上的自主 AI Agent 建好了一套真实运转的安全机制。Android 中存在一个名为 EXECUTE_APP_FUNCTIONS 的系统权限，只保留给获批的 agent，任何应用或助手在发现或运行其他应用的功能之前都需要它。这个权限不在设置菜单里，也不在开发者选项里，而位于 Android 的 AppFunctionsManager 框架中，并且几乎只对 Gemini 等 Google 一方软件开放。

它背后的机制是 AppFunctions。开发者不必让 agent 像人一样在屏幕上模拟点击，而是为应用内某个具体操作建立一条快捷通道；当这条通道存在时，Android 会把它记录下来。举例来说，让 Gemini 帮忙叫车时，它会触发这个动作，而不是打开应用替你找按钮。Google 把这比作让外部工具连接到一项服务，而不是像人一样去使用它。

这么做的好处很直接：不需要点击，也不会因为应用更新挪动了按钮而失败，agent 记录的是快捷方式而不是整套操作流程，更不容易断掉。但它只有在开发者真的建好这条快捷通道之后才有效，而目前几乎没有人建。

于是就有了一个空笼子。Gemini 对这套系统的访问只限于 Google 亲自挑选的一小批内部测试者，项目没有公开的时间表，也可能在没有任何预警的情况下改变；开发者现在想拿到真实访问权限，只能申请早期项目然后等待，而且不保证入选。对多数开发者来说，这还不值得投入。

报道认为，先把笼子建好是正确的做法。Android 有先上线、出事后再收紧的习惯——位置、后台数据和通知权限最初都是完全敞开的，后来才变成今天大家随手划过的授权弹窗。把同样的路径用在 AI 上会更糟：一个不受约束的 agent 可能在你察觉之前读消息、动钱。在开发者还没有充分理由抵制之前就把规则立起来，意味着规则先于诱惑存在，在真正的钱和真实用户进场之前尤其关键。市场上也并非没有需求，已经有第三方开发者用 ADB 点击屏幕的旧办法做出 Android agent，而这恰恰是 AppFunctions 想要避免的脆弱路径。

目前这套权限体系做得细致，却几乎不控制手机上的任何实际功能。笼子已经建好、测试过、上了锁，还没有人搬进去。对用户来说，真正值得盯的时点不是权限表里的名字，而是 Google 什么时候向第三方开发者开闸；在那之前，Android 上的 AI agent 仍然要靠不稳定的老办法工作。