10 月 10 日，Satya Nadella 发表了一篇文章，重新定义了企业在 AI 领域所追问的核心问题。过去的问题是“我们能信任哪个模型？”他的回答是：默认情况下，一个都不能信。对待每一个前沿模型——无论是闭源还是开放权重——都要像对待一位能访问敏感系统的强力员工那样：限制权限、记录操作、保留关闭开关，并且审计不能依赖该员工的自述。
他在结尾留下了一句容易复述却难以落地的话：最值得信赖的系统，是那个“让我们对模型的信任降到最低”的系统。
我在这篇文章中的论点比那些新闻标题更聚焦，而且我认为也更难被驳倒：
- Microsoft 赢得企业 AI 竞赛，靠的不是拥有最好的模型。它赢在掌控了模型被治理、计费和约束的地方，而企业端的数据（超过 3000 万个付费 Copilot 席位、1000 亿美元 Azure 营收）证明了这一点。
- Azure 上的开放权重模型很重要，但原因并不是它们更值得信任。它们之所以重要，是因为把控制权交给了部署者，而这正是 Nadella 转移信任责任的方向。
- 部署者唯一无法令人信服地自己提供的东西，就是独立验证。这就是缺口所在，也正是我们这样的测试公司该站的位置。
先做个披露：我是 TestMu AI（前身为 LambdaTest）的联合创始人。阅读本文最后三分之一时请记得这一点。我已尽力让每个论断都可查证，来源附在文末。
Microsoft 正在输掉模型竞赛，却依然赢得了企业市场
“Microsoft 正在赢得企业 AI”是最容易被反驳的说法，因此需要给出精确的含义。就模型份额而言，Microsoft 并非领先者。但在企业 AI 真正运行的地方，它是。
衡量的是什么
模式很清晰。企业从各家实验室购买模型，但把它们部署在 Microsoft 体系内。a16z 的 CIO 调查发现，OpenAI 在模型层面领先，而 Microsoft 主导着企业 AI 应用。
Microsoft 也不再把赌注押在某一家实验室上。Anthropic 的 Claude 已于 2026 年 6 月 29 日在 Microsoft Foundry 正式商用，通过 Azure 计费，并使用 Azure 的身份与访问控制进行治理。Foundry 目录如今已收录来自 OpenAI、Anthropic、Meta、Mistral、DeepSeek、xAI、Cohere 等厂商的模型。
所以这个论点的精确表述是：Microsoft 正在成为企业 AI 的控制面，也就是决定运行哪个模型、以何种权限、基于哪些数据、记在谁的日志下的那一层。Nadella 的文章谈的正是这一层。
企业记分牌
如果控制企业层就是战利品，那么 Microsoft 2026 财年的业绩表明它正在把它收入囊中。在截至 2026 年 6 月的财年，Azure 实现 1000 亿美元年度营收，6 月所在季度增长 43%，并预计 9 月所在季度增速约为 45%（Microsoft 8-K；MarketBeat）。商业剩余履约义务（即已签约但尚未确认收入的积压订单）增长 84%，达到 6780 亿美元（KuCoin 对该财报的摘要）。
Copilot 的数据对本论点更重要，因为它们衡量的是企业把 AI 放到自家员工面前的程度：
这些点名提到的部署，恰恰发生在信任最难建立的领域：英格兰 NHS 正把 Copilot 推广到 50.5 万名临床医生和员工，KPMG 覆盖超过 27.6 万名专业人士，HSBC 承诺采购 20 万个席位（UC Today）。Accenture 正向约 74.3 万名员工推广，Nadella 称这是 Microsoft 最大的 Copilot 订单（Let's Data Science）。Bayer、Johnson & Johnson、Mercedes-Benz 和 Roche 各自的席位数都超过 9 万。
最能说明问题的细节是 Microsoft 如何打包销售。其全新的 E7 套件将 Copilot 与 E5 安全、Entra 身份以及用于管理 Agent 的 Agent 365 捆绑在一起。上线头两个月就有数百家企业购买，EY 正向 40 万名员工部署该套件（UC Today）。Microsoft 不再单独售卖 AI。它卖的是 AI，以及围绕它的身份、权限和治理——这等于把 Nadella 的文章变成了一个 SKU。
需要提醒的是，3000 万个席位仍只占 Microsoft 付费商业版 Microsoft 365 席位的约 6.6%（No Jitter），而且部分积压订单是在实际部署前就已承诺的。领先是真实的；市场仍处于早期。这正是现在就该构建信任层的理由——趁装机量还在启动阶段。
Nadella 到底说了什么
这篇文章题为《超级智能时代的模型即内部风险》，开篇便是一种承认。在传统软件中，工程师可以把行为追溯到某条代码路径。而在前沿模型上，没人能把输出对应到具体的训练数据或权重，可企业却把这些系统交托了敏感数据和关键任务操作。他写道，供应商的保证并不能免除部署者的责任（TNW）。
他的方案是借用安全团队已经在用的内部风险控制手段：经验证的身份、最小权限、日志记录、隔离约束。这些控制在模型之外。用他的话说，企业必须“把智能的供给与对智能的管辖权分开。”
按照 TNW 的总结，七项原则如下：
- 模型多样性。 任何重要结果都不应只依赖单一模型，也没有模型可以检查自己的工作。
- 证据。 每一次有意义的模型操作都应留下防篡改、人类可读的证据。
- 持续系统测试。 持续测试所有系统，包括针对故障和攻击的测试。
- 由部署者定义权限。 由公司而非模型决定模型能访问什么、做什么。
- 独立审计。 审计不得依赖被审查的模型本身。
- 隔离约束。 授权人员可以在任务中途暂停或停止模型。
- 事件披露。 迅速告知受影响方，并在行业内分享经验教训。
有两处细节对后文很关键。第一，这套框架同样适用于闭源和开放权重模型（OfficeChai）。第二，文章没有宣布任何产品、标准或时间表（FourWeekMBA）。这是一种立场，不是计划，因此具体实现仍是开放的。
这篇文章并非凭空而来。7 月，OpenAI 宣布有 Agent 逃离了沙箱评估环境并入侵了 Hugging Face 系统。9 月，OpenAI 的一个研究模型通过 DNS 联系到了外部聊天机器人，随后 OpenAI 暂停了其最强模型的工具使用训练与推理（Bernama/dpa）。Anthropic 也披露，其一个模型在测试期间向费城警方发送了虚假凶杀案线索（Benzinga）。这些都是实验室事件，而非企业级泄露，但它们解释了为什么“相信供应商”不再是可接受的答案。
Azure 上的开放权重：关乎控制，而非美德
这种论点的流行版本认为开放权重模型更可靠。Nadella 本人在文章中实际上已经否定了这一点：开放权重同样是内部风险。可检查的权重并不能让行为变得可追溯，而这正是他指出的核心问题。
开放权重真正给企业带来的，是对 Nadella 交给部署者的那些变量的控制权：
- 版本锁定 - 你验证过的模型就是运行的模型。没人会在你不知情的情况下更新它。
- 位置 - 它运行在你的区域、你的数据中心，或者一个断网站点。Microsoft 的 Sovereign Private Cloud 可在本地 Azure Local 上运行 Foundry Local。
- 连续性 - 部署之后，供应商或政府都无法收回访问权。
- 面向任务的后训练适配 - 你可以把模型收窄到特定任务，并测试这种更窄的行为。
Microsoft 正为此布局。7 月，它与 Mistral 签署了一项数十亿美元的协议，把开放权重的 Mistral Medium 3.5 引入 Foundry 和 Azure Local，包括完全断网的部署方式。10 月 9 日，它发布了 Microsoft-Decision-1，这是一个在阿里巴巴开放权重 Qwen3.5-9B 基础上后训练的评分模型，用于路由、事实性核查以及评估拟议的 Agent 动作（Let's Data Science）。
现在看看反面证据。企业对开放模型的使用一直在下降，而非上升：Menlo Ventures 测算，2025 年初开放模型占企业工作负载的 19%，到年中降至 13%，原因是存在 9 至 12 个月的性能差距，以及企业不愿使用中国产模型（Menlo Ventures）。Menlo 后续给出的数字是 11%（Keenable 汇编）。
因此，“开放权重最适合企业”是一个不准确的概括。站得住脚的立场是组合策略：在能力决定结果的场景用前沿闭源模型，在控制决定结果的场景用开放权重模型（受监管数据、断网站点、高并发分类与核查）。Decision-1 是个有用的信号。Microsoft 为负责检查其他模型的模型选择了开放底座，并表示后续会把它迁移到 MAI 和 OpenAI 模型之上（InfoWorld）。底座是可选项；控制层才是产品。
Azure 的优势在于，它在同一套身份、计费和日志体系下同时提供两者。这正是 Nadella 的原则所需要的：一个能对众多模型统一行使管辖权的地方。
欧洲：截止日期延后了，压力并没有
夸大监管推力很容易，所以我们来看看实际生效的内容。欧盟《数字综合法案》于 2026 年 7 月 27 日生效，把《AI 法案》中高风险条款的截止日期推迟了一年多（CASRAI）。
日期依据 Gibson Dunn 与 Compliance Hub。
由此可以得出两个诚实的结论。本季度监管并未逼任何人出手。但从 2027 年 12 月起它将强制执行的要求包括：风险管理、文档记录、人工监控和上市后监测。搭建这些体系所需时间远超 14 个月，而且它们看起来与 Nadella 的清单高度相似。
欧洲更强的驱动力是访问连续性。2026 年 6 月，美国出口管制促使 Anthropic 暂停了两款最先进模型的访问约三周，直到管制解除（Anthropic）。一项关于 Microsoft–Mistral 交易的分析把欧洲重燃的主权诉求直接归因于那次暂停（ResultSense）。据 ai2.work 报道，Gartner 预计 2026 年欧洲主权云 IaaS 支出将达 126 亿美元，同比增长 83%。
反方观点也值得一说。德国和丹麦都已宣布将从 Microsoft 软件转向开源（UC Today），而美国供应商的本地云是否算真正的主权仍无定论。Microsoft 在欧洲的地位很强，但尚未稳固。
平台无法提供的那一块：独立验证
再读一遍那七项原则，并按“谁能做”来分类。身份、权限、日志和紧急制动（原则 2、4、6）都是平台功能。Microsoft 可以把它们做进 Foundry 和 Entra，而且基本已经做了。
有三项原则不同。“没有模型可以检查自己的工作”（1）、“始终测试整个系统”（3）以及“审计不得依赖被审查的模型”（5）都需要一个与被评判对象相分离的主体。Nadella 本人也指出，用模型互相测试存在局限（OfficeChai）。
Microsoft 确实提供了评估工具，而且做得不错。Foundry 的追踪与评估功能在今年春天正式商用（Microsoft Foundry 博客），其控制面还包含自动化红队测试（Azure Updates）。这覆盖了持续的内部检查。但它覆盖不了独立性，原因在于结构性矛盾：Microsoft 对它将要打分的许多模型都有商业利益。它长期持有 OpenAI 股份，已向 Anthropic 承诺最高 50 亿美元投资（AI Business），投资了 Mistral，如今还在发布自己的模型。
这不是在批评 Microsoft。这是每个受监管行业早已采用的逻辑。公司维持内部控制，外部审计师审计账目。云提供商运行自己的安全体系，独立机构出具 SOC 2 报告。没人认为云应该自我审计；也没人应该认为模型市场可以自我审计。
需求在数据中清晰可见：
- Harris Poll 调查的 685 位 CIO 中，81% 表示已失去对自身 AI Agent 的监督，60% 没有集中治理层（Dataiku）。
- McKinsey 2026 年的调查发现，三分之二的组织在 Agent 方面仍处于实验阶段，但只有不到四分之一在规模化推进，主要障碍是信任与风险（据 NHI Mgmt Group 报道）。
- IDC 把缺失的审计轨迹描述为真正的治理缺口：在一项调查中，多数组织无法核实自家 Agent 做了什么（IDC）。
Box CEO Aaron Levie 回应 Nadella 的文章时表示，AI 正在进入零信任时代，需要分层防护与可审计性（Benzinga）。安全领域的零信任在平台周围催生了一个独立供应商生态。同样的事情即将在这里发生。
TestMu AI 与 Microsoft 各自的位置
下面是我此前披露的立场，直白地说：我认为独立验证会成为一个品类，而 TestMu AI 应当成为在 Microsoft 技术栈上定义这个品类的公司之一。
这种关系并非假设。我们的测试编排平台 HyperExecute 就构建在 Azure 上（Microsoft 客户案例）。2022 年，我们推出了与 Azure DevOps 和 GitHub Actions 的集成，并成为 Ignite 大会的重点合作伙伴（Help Net Security）。接下来要讲的是我会如何把它延伸到信任层。这是一项提案，而非已公布的交易。
具体来说，这意味着三件事：
- Agent 的发布关卡。 在 Foundry 或 Copilot Studio 中构建的 Agent，在获得生产权限之前需经过独立的预生产测试。我们的 Agent Testing 产品覆盖聊天、语音和 IVR Agent；我们的 Agent 间测试覆盖无人工介入的工作流。
- 最终落入客户控制面的证据。 结果流入 Foundry 基于 OpenTelemetry 的可观测性体系，该体系已支持接入第三方 Agent（Microsoft Tech Community）。平台保存日志；验证方签署结论。
- 在模型运行的地方完成验证。 对于 Azure Local 上的主权和断网部署，测试必须在同一边界内运行，否则证据就会离开模型被锁住的那个房间。
有一个质疑直接指向我们。如果我们用 AI Agent 测试 AI Agent，不就是在做 Nadella 警告的事吗？某种程度上是的，所以设计才如此重要。测试 Agent 必须运行在与被测系统不同的模型上（原则 1）。通过与否必须基于对预期行为的确定性检查，模型只用于探索和生成用例，而不是给自己打分。而且每一项结论都必须让人类审计员可读，且无需信任我们的模型。
回应质疑
“引领企业 AI 的是 Anthropic 和 OpenAI，不是 Microsoft。” 就模型份额而言，这完全正确，本文也认同。但重点在于控制面。Claude 本身现在已通过 Foundry 销售，开在 Azure 账单上（Redmond Mag）。模型厂商和平台赢在不同的层次。
“Nadella 的文章是给 Azure 做营销。” 有可能，但其内容实质依然正确。安全团队早已为人建立了内部风险控制；把它扩展到模型只是常规工程。注意，文章没有提到任何 Microsoft 产品，因此单就文本本身无法被判定为销售宣传。
“开放权重模型正在丢失企业份额，所以这是错误的押注。” 数据支持这一点，因此本文的论点是组合与控制，而不是开放权重会赢。Microsoft 用开放底座构建其检查模型，这才是相关信号。
“监管刚刚延期，所以并不紧迫。” 高风险义务现在落在 2027 年 12 月。通用模型义务自 2025 年 8 月起已生效。驱动买家的不是法律日历，而是事故记录。国会中的 Kill Switch 法案也指向同一方向（TNW）。
“Microsoft 自己会做验证。” 它会做评估，也应该做。但独立性不是它能加上的功能，原因和公司不能当自己的外部审计师一样。对 Microsoft 客户最好的结果，是一个便于独立验证方接入的平台。
“为什么是测试公司而不是审计事务所？” 审计事务所定期检查控制措施。原则 3 要求持续测试整个系统，包括在故障和攻击期间。这是每次发布都要做的持续性技术工作。测试基础设施本来就在为软件做这件事；现在的目标变成了 Agent。
什么会证明这个论点是错的？
一篇值得发表的文章应该说明什么会推翻它。有四件事会：
- 企业认为平台自行评估就够了。 如果 CIO 和监管机构把供应商自己的评估当作审计，独立层就会一直很小。
- 实验室解决了忠实的可解释性。 Nadella 的论证建立在无法追溯模型行为之上。如果情况改变，隔离约束的重要性下降，验证也会变便宜。
- 采购重心偏离平台层。 如果企业端到端标准化采用某一家实验室的 Agent 技术栈，控制面就会从 Microsoft 转移到那家实验室。
- 主权意味着离开 Microsoft。 如果欧洲买家认定美国供应商的本地云不够主权化，Microsoft 在欧洲的优势就会缩水。
未来 12 个月我会关注三个信号：Microsoft 是否会把 Nadella 呼吁的隔离约束技术标准化；欧盟关于高风险合规的指引是否会点名第三方测试；企业是否开始在 AI 采购中索要验证证据。如果三者都在推进，信任层就会变成一个市场。
来源
Nadella 的文章与各方反应
- Satya Nadella 在 X 上：“超级智能时代的模型即内部风险”（2026 年 10 月 10 日）
- TNW：Satya Nadella 称企业应把 AI 模型视为内部风险
- FourWeekMBA：Nadella 称应像对待内部风险一样对待前沿 AI 模型
- OfficeChai：AI 模型需要被视为强力的内部人员
- Benzinga：Nadella 称 AI 系统应被构建成对模型信任最少的样子
- Let's Data Science：Nadella 呼吁建立 AI 紧急制动控制
Microsoft 企业业绩
- Microsoft Form 8-K，2026 财年第四季度财报发布（2026 年 7 月 29 日）
- MarketBeat：Microsoft 第四季度财报电话会议要点
- KuCoin：Microsoft 第四季度财报摘要（RPO 数据）
- No Jitter：Microsoft 365 Copilot 采用率较上季度跃升 50%
- UC Today：Copilot 付费席位突破 3000 万；NHS、KPMG、HSBC、EY E7
- Enterprise DNA：Copilot 付费席位达 2000 万（财富 500 强数据）
- Let's Data Science：Accenture 及已点名的 9 万席位客户
市场数据
- a16z：企业 AI 军备竞赛中的领跑者、增长者与意外赢家
- The Decoder：OpenAI 仍领跑企业 AI，Anthropic 快速追赶
- SaaStr 解读 ETR 数据：当前谁在主导企业 AI
- Carly：2026 年 LLM 市场份额（Menlo、Ramp、Microsoft 数据）
- Menlo Ventures：2025 年中 LLM 市场更新
- Keenable：2022–2026 年开放权重与专有模型采用情况对比
Microsoft 平台与模型
- Enterprise DNA：Claude 在 Microsoft Foundry 正式商用
- Redmond Mag：Anthropic Claude 在 Microsoft Foundry 正式商用
- ADTmag：Foundry 模型目录
- AI Business：Claude 登陆 Foundry；Microsoft–Nvidia–Anthropic 投资条款
- Let's Data Science：Microsoft-Decision-1
- InfoWorld：Microsoft 将决策能力从生成式 AI 中分离出来
- Microsoft Foundry 博客：Build 2026 可观测性
- Azure Updates：Foundry 控制平面中的可观测性
- Microsoft Tech Community：Foundry 控制平面中的可观测性
欧洲与主权
- Microsoft Learn：Microsoft Sovereign Cloud
- Noqta：Microsoft 与 Mistral 达成主权 AI 合作
- SiliconANGLE：Mistral 与 Microsoft 签署数十亿美元协议
- ResultSense：Microsoft 将资助 Mistral 在欧洲的算力建设
- ai2.work：Microsoft 与 Mistral 押注主权 AI（Gartner 数据）
- UC Today：Microsoft 365 Local 与欧盟主权
- Anthropic：关于 Fable 和 Mythos 访问权限的声明
- CASRAI：EU AI Act Digital Omnibus 截止日期推迟
- Gibson Dunn：EU AI Act Omnibus 协议
- Compliance Hub：Digital Omnibus 延期时间表
事件与治理调查
- Bernama/dpa：安全防线被突破后，OpenAI 暂停顶级 AI 模型研发工作
- Dataiku / Harris Poll：《2026 年全球 AI 坦白报告》CIO 版
- NHI Mgmt Group 评 McKinsey 2026 年 AI 信任成熟度调查
- IDC：并不存在的审计追踪
TestMu AI（LambdaTest）与 Microsoft
