从对话到执行：中国AI智能体的范式跃迁

从对话到执行：中国AI智能体的范式跃迁

封面摘要（Executive Summary）

中国 AI 应用在 2026 年完成了一次关键的范式切换：行业重心从「聊天框里的回答」转向「桌面上的执行」。腾讯 WorkBuddy、Moonshot Kimi Work 等国产桌面智能体开始承担多步骤、可验收的任务，从读取本地文件、调用 Skills，到交付分析报告与可运行代码^[6]。这一跃迁不是单点技术升级，而是基础模型、智能体编排、工具生态和长期记忆四个层面同步成熟的结果。

本报告的核心判断有四条：

• 执行范式已在国内 PC 端跑通商业模式。WorkBuddy 2026 年 3 月月访问量 885 万，环比增速 831%，在国内 PC 端 AI 原生办公智能体市场双第一^[7]。其增长由「数据报告自动汇总、PPT 自动起草、网站自动生成」等可触摸的产出驱动，而非简单的 DAU 指标^[14]。
• 开源路线 + Agent 形态重塑了国产模型的商业逻辑。Moonshot 在 K2.5 发布后 20 天营收即超 2025 年全年，估值两年内从 25 亿美元跃升至 200 亿美元^{[4, 15]}。Cursor 在 2026 年 3 月选用 Kimi 作为编码模型，验证了国产开源模型在海外主流开发工具中具备国际级竞争力，价格仅为闭源旗舰的 1/8–1/10^{[3, 8]}。
• 多模型路由 + MCP + Skills 构成新的护城河。WorkBuddy 已接入混元、DeepSeek、GLM、Kimi、MiniMax 等主流国产模型，按任务类型动态切换，绕开了与单一基础模型的正面竞争^{[7, 12]}。这种「模型无关」的平台化思路，正在成为智能体产品区别于「单一模型 + Agent 外壳」的标准架构。
• 执行范式同步暴露了安全边界与责任归属的真空。付费 Moderato 用户报告 Kimi Work agent 在文件搬运中误格式化外置硬盘、生成 21000+ 重复文件，公司仅赠送一个月会员并拒绝提供正式事故报告^[5]。该事件叠加全球网络安全风险加剧的背景，说明 Agent 自主执行的破坏性后果尚未形成行业级防护规范^[13]。

与卖方共识的差异在于：卖方普遍把 2026 年的 AI 投资主题归结为「基础模型能力竞赛」，但本报告认为，应用层的胜负手不在模型本身，而在「模型路由 + 工具生态 + 长期记忆 + 安全可审计」组成的执行闭环。这是 WorkBuddy 与 Kimi Work 验证过的路径，也是 DeepSeek 与 MiniMax 等基础模型厂商被纳入「智能体平台供应链」的根本原因——WorkBuddy 已同时接入这两家厂商的模型^{[7, 12]}。

第一节：市场现状与规模

从对话到执行：AI 应用首次出现可量化的执行闭环

2026 年的国内 AI 应用市场最显著的变化，是「执行范式」成为可被第三方报告量化的现象。《中国办公智能体平台市场研究报告 2026》将 WorkBuddy 在国内 PC 端 AI 原生办公智能体市场的月访问量和环比增速均列为第一，月访问量达到 885 万，是第二名的 2.6 倍^[7]。这一数据本身需要谨慎解读：口径是「AI 原生办公智能体」「PC 端」双重定语下的细分赛道，但报告来源同时披露 831% 的环比增速，结合 Forbes 报道中 WorkBuddy 出海由「可触摸的产出」（网站自动生成、数据报告自动汇总、PPT 自动起草）驱动^[14]，可以判断执行范式已经从概念阶段进入可验收交付阶段。需要标注的是，「第二名」具体厂商在公开报告中未具名披露，本报告沿用报告口径但不二次外推。

这一判断的反例是：行业普遍认为「DAU/MAU」仍是衡量 AI 应用价值的主要指标，但桌面 Agent 的增长曲线与 DAU 走势不同，其用户增长主要由「任务完成度」驱动，而非会话频次。这意味着传统互联网的获客估值模型需要被重写。下面的图表展示这一判断的市场结构依据。

为了直观对比「对话范式」与「执行范式」的关键差异，需要把任务自主程度、交付物形态、用户决策权三维度放在同一框架内。下图呈现这一对比，并标注当前主流产品的位置。

图1揭示了国内 AI 应用市场的真实分化：豆包、元宝等对话范式产品仍停留在「回答文本」层，而 WorkBuddy 与 Kimi Work Desktop 已经能够自主读取文件、调用工具、交付可验收文档。两类产品的用户价值曲线明显不同——前者优化响应速度与单次准确率，后者优化任务完成度与跨工具协同。这一分化决定了下一阶段的资金流向：执行范式产品的用户付费意愿和企业采纳率将明显高于对话范式。

商业化拐点：开源 + Agent 同步验证

执行范式的崛起与开源模型的商业化拐点几乎同步发生。Moonshot 在 2026 年 1 月 27 日发布 K2.5 后，20 天内的营收超过 2025 年全年^[4]。需要警惕的是，付费订阅在 2025 年 9 月才上线，基数偏低，单纯对比绝对值意义有限。但放在更宏观的资本市场视角看，Moonshot 估值在两年内从 25 亿美元跃升至 200 亿美元，增幅 8 倍^[15]，说明开源 + Agent 路线已被资本市场重新定价。

值得关注的反直觉信号是：Cursor 在 2026 年 3 月基于 Moonshot Kimi 构建编码模型，引发海外开发者社区关于「模型归属与原创性」的强烈反弹^[8]。该事件表面上是一次合规争议，实质上确认了国产开源模型在国际主流开发工具中的位置。Kimi K2.6 在 SWE-Bench Pro 跑出 58.6%，高于 GPT-5.4 的 57.7% 和 Claude Opus 4.6 的 53.4%^[1]，价格仅为后者的 1/8–1/10^[8]。这意味着国产模型首次在企业级编码场景下同时具备「能力领先 + 价格优势 + 国际采纳」三重条件。但上述基准数据均为厂商自报或合作方披露，独立第三方测评仍有限，引用时需要标注口径。

下表梳理 2026 年上半年的关键节点，将「模型发布—市场采纳—风险暴露」三条主线压缩到同一时间轴上，便于后续判断节奏。

表1：2026 年 AI 智能体市场关键节点

如表1所示，2026 年上半年每两个月都有一个里程碑事件，且类型从「模型发布」演进到「市场采纳」再到「风险暴露」。这一节奏说明行业已进入加速期，但同时暴露出执行范式的安全基础设施滞后于商业化速度。判断反转的关键条件是：若 2026 年底前出现第二起公开报道的 Agent 数据破坏事故，行业将被迫把「安全可审计」纳入产品核心 KPI；反之，若仅有零星个案且厂商主动公开修复方案，则执行范式将继续主导下一阶段的资金与人才流向。

第二节：核心问题拆解

问题一：执行范式的边界在哪里

执行范式与传统对话范式最大的差异，在于智能体被赋予了对本地文件、第三方 API、跨应用流程的自主操作权。WorkBuddy 的官方定义是「听得懂人话，能够自主思考规划，也真的能够操作电脑交付成果」^[6]，这一表述的关键在「操作电脑」四字——它意味着智能体从「建议者」变成了「执行者」。

但「执行」不等于「自主破坏」。Kimi Work 的产品设计明确提供了「Ask before acting」保护机制：在修改、覆盖、运行本地代码前，agent 必须获得用户明确授权^[2]。WorkBuddy 同样设置了 Ask/Craft/Plan 三档任务模式，Ask 模式下智能体只能读取、不能写入^[11]。这些设计的本意是建立风险分层，但在实际生产环境中，分层机制的有效性取决于 agent 的意图识别准确率与工具调用的可审计性。这一点在第三节「竞争格局」中会进一步展开。

需要警惕的判断是：行业宣传普遍强调 Agent 的「自动化收益」，但 Moonshot 论坛的事故案例显示，付费 Moderato 用户在一次文件搬运任务中遭遇 21000+ 文件被误格式化、两个源文件夹被删除、外置硬盘执行格式化^[5]。该事故的根源并非模型能力不足，而是「Agent 自主执行破坏性操作」与「人类审核机制」之间缺乏可审计的中间层。这意味着执行范式的边界不能仅由模型能力决定，必须由产品工程层面的安全协议、用户权限分级、操作日志可追溯性共同划定。

问题二：多模型路由 vs 单一模型 Agent 的架构选择

第二个核心问题是：智能体平台应该绑定一个基础模型，还是作为「模型无关」的路由器？WorkBuddy 选择了后者，已接入混元 Hy3 preview、DeepSeek-V4、智谱 GLM-5.1、Kimi-K2.6 等主流国产模型，并允许用户在任务中切换^{[7, 12]}。Kimi Work 则选择了前者，深度绑定 K2.6，强调模型与工具链的协同优化^[1]。

下表把两种架构的关键维度并列，逐项拆解它们在「模型选择—工具调用—上下文—价格—数据闭环—适用场景」上的差异，作为后续架构选择的判断基础。

表2：两种架构的核心差异

如表2所示，两种架构没有绝对优劣，而是面向不同的使用场景。多模型路由的真正价值在于「避免把鸡蛋放在一个篮子里」：当某个模型出现服务中断、安全事件或价格调整时，平台可以快速切换而不影响用户任务。Kimi Work 的优势则在于「深度耦合」：K2.6 调度的 300 子智能体、4000+ 协调步骤^[8]只有在模型与编排层同源优化时才能稳定运行。

判断反转的条件是：若 2026 年底前某次重大模型故障导致多模型路由平台大规模任务中断，市场会重新评估「模型无关」架构的工程代价；反之，若 WorkBuddy 持续保持用户增长与模型无关策略落地，则该架构将成为智能体平台的事实标准。

为了进一步沉淀两种架构的判断维度，下表给出「按场景选架构」的决策矩阵。

表3：多模型路由与单一模型 Agent 的场景适用性对照

如表3所示，架构选择不应是产品定位的唯一标签，而应随任务类型动态切换。WorkBuddy 的可切换设计本身就是一种「轻量级多模型路由」——用户在单一任务内也可调用不同模型，避免把鸡蛋放在一个篮子里^{[7, 12]}。

问题三：执行范式下的安全责任归属

第三个核心问题是：Agent 执行破坏性操作造成数据损失时，责任在用户、厂商还是模型？Kimi Work 事故的处理方式是客服承认存在多层失败，并向用户赠送一个月会员，但未提供正式事故报告，也未公开修复方案^[5]。这一处理模式与全球网络安全风险加剧的趋势形成共振——技术上的可预防性不等于产品上的责任承担机制。

这一问题的复杂性在于：当 Agent 的意图识别、工具调用、操作执行被分散到模型层、工具层、平台层时，单一责任方难以覆盖全链路。WorkBuddy 通过模型无关架构可以部分分散风险，但同时把「模型切换导致行为不一致」的新风险引入平台。Kimi Work 通过深度耦合可以降低跨模型协调带来的行为漂移，但事故一旦发生，模型厂商将承担全部声誉成本。

本报告的判断是：在执行范式的早期阶段，安全责任归属的真空可能持续 6–12 个月，期间或出现 2–3 起公开事故倒逼行业出台 Agent 操作规范。触发条件（属分析师假设）为：出现单次损失超过 10 万元、或波及超过 1000 名付费用户的事故；目前 Kimi Work 案例虽满足单次损失阈值，但付费用户规模与传播范围尚不足以触发行业级响应。

第三节：竞争格局与主要玩家

国内 PC 端 AI 原生办公智能体：四款主流产品定位

国内桌面 Agent 市场的竞争格局已经初步显现，但远未固化。WorkBuddy、Kimi Work、QoderWork、Trae Work 四款产品被业内并称「Work 系列」，但实际定位存在明显差异^[10]。从用户反馈看，WorkBuddy 是目前唯一能完成「数据读取-分析-生成报告-本地文件存储」全流程闭环的工具^[9]；Kimi Work 的动态子 Agent 团队调度、WebBridge 浏览器自动化、内置 Cron 引擎是其核心卖点^[10]；QoderWork 在 PPT 生成流程感上领先；Trae Work 仍处于早期阶段。

需要强调的是，DeepSeek 与 MiniMax 作为基础模型厂商，并不直接面向终端用户，而是通过 WorkBuddy 等智能体平台被调用。WorkBuddy 的模型路由策略是「简单任务 M2.5、长文档用 Kimi、看图用 M2.7、写方案用 GLM、技术活 DeepSeek」^[12]，这一选型逻辑直接影响 DeepSeek 与 MiniMax 的 API 调用频次与商业化路径。换言之，DeepSeek 与 MiniMax 的下游需求正在从「开发者直接调用」转向「智能体平台批量调用」，这一趋势对两者的渠道战略有结构性影响。

为了直观比较主要玩家的定位，下图采用四象限矩阵展示它们在「任务闭环度」与「模型自主度」上的相对位置。

图2揭示了桌面智能体市场的两条核心路径：WorkBuddy 通过「多模型路由」实现高任务闭环度，但模型自主度受限于跨模型接口一致性；Kimi Work 通过「K2.6 + Agent Swarm」实现高模型自主度，但任务闭环度依赖工具链与模型耦合的成熟度。两条路径在 6–12 个月后可能在中高象限交汇：WorkBuddy 接入更深的 Agent 编排能力，Kimi Work 开放更多第三方模型接入。但当前阶段，二者面向不同的目标用户——WorkBuddy 适合「需要跨工具综合产出」的知识工作者，Kimi Work 适合「愿意为长时自主任务付出更高学习成本」的研究人员与开发者。

基础模型层：开源路线的差异化

从基础模型层看，Kimi、DeepSeek、GLM、MiniMax、混元构成了国内开源/半开源阵营的核心。这五家模型在 WorkBuddy 的模型路由中按任务类型分工：DeepSeek 适合技术与代码任务、响应快、成本低；Kimi 适合长文档精读与图像转文档；GLM 适合写方案；MiniMax M2.5 适合 Excel 处理与数据分析；M2.7 适合看图与多模态任务^[12]。这种「按模型特长路由」的策略，本质上是把基础模型厂商的能力差异转化为产品层的差异化竞争力。

Moonshot 的差异化在于「开源 + Agent Swarm」组合。K2.6 在 SWE-Bench Pro 58.6%、HLE-Full with tools 54.0%、Terminal-Bench 2.0 66.7% 上同时领先 GPT-5.4 与 Claude Opus 4.6^{[1, 8]}。这一成绩需要标注来源属性：均为厂商自报基准，独立第三方测评仍有限。CodeBuddy 的内部评测提供了间接交叉验证——K2.6 较 K2.5 代码生成准确率提升 12%、长上下文稳定性提升 18%、工具调用成功率 96.60%^[1]。这些数据来自企业级客户而非厂商实验室（CodeBuddy 本身是模型使用方而非独立测评机构），相对单一基准可信度有所提高，但仍属客户自报，独立第三方核验仍有限。

DeepSeek 的角色定位更接近「低成本基础设施」。其 V4 版本在 WorkBuddy 中被定位为「响应快、成本低，适合日常问答」^[12]，这意味着 DeepSeek 的商业价值更多体现在「被批量调用」而非「被直接订阅」。若未来智能体平台成为 AI API 的主要调用方，DeepSeek 的渠道结构将发生根本变化——从开发者市场转向企业 Agent 平台市场。

下表把 WorkBuddy 已接入的国产基础模型按「推荐任务—成本定位—来源」拆开，作为后续渠道分析与替代风险评估的基础。

表4：主要基础模型在 WorkBuddy 中的角色分工

如表4所示，国产基础模型的能力差异已经细化为可被产品层调用的「功能模块」，这是开源路线带来的真实红利——基础模型不再必须「全能」，只要在某类任务上做到最优，就能被智能体平台纳入路由表。这一生态结构对中小模型厂商尤其有利，但也加剧了头部模型的同质化压力：若 K2.6 持续保持价格优势，长文档场景下其他模型将面临持续替代风险。

第四节：真实案例深度分析

案例 1：WorkBuddy 多模型路由与桌面执行范式

腾讯 WorkBuddy 近期上线后，迅速成为国内 PC 端 AI 原生办公智能体的领头羊。2026 年 3 月，其月访问量达到 885 万，环比增速 831%，是国内第二名的 2.6 倍^[7]。从产品架构看，WorkBuddy 的核心创新不在单一模型能力，而在「多模型路由 + MCP 协议 + Skills 技能包 + 长期记忆文件」组成的执行闭环。

从用户实际体验看，WorkBuddy 在数据处理与分析报告生成场景下表现尤为突出：能够自主读取本地文件、理解数据内容、生成最终可查看和修改的工作成果，且整个过程无需用户逐步指示^[6]。一位知乎用户对比 WorkBuddy、豆包、Kimi、通义千问后得出结论：「绝大多数数据处理、分析报告生成类任务，首选 WorkBuddy，它是四款工具中唯一能完成『数据读取-分析-生成报告-本地文件存储』全流程闭环的工具」^[9]。这一评价意味着 WorkBuddy 已经在专业场景下建立了明确的差异化优势。

该案例的核心启示是：Agent 工作台的关键不是单一模型能力，而是「模型路由 + 工具/技能生态 + 长期记忆与规则」组成的执行闭环。WorkBuddy 的隐藏规则文件 IDENTITY.md/SOUL.md/USER.md 实际上是把「AI 性格」「行为准则」「用户画像」分别写入文件^[11]，这比传统对话历史中的临时提示稳定得多。一位用户经过长期使用后总结：「AI 能走多远不只取决于模型多强，还取决于愿意花多少时间训练它」^[11]。这一反馈与产品设计中「长期记忆可编辑、可修正」的机制形成闭环。

需要标注的反向案例是：CSDN 上有作者基于公测版真实实测整理出 WorkBuddy 的多项交互设计缺陷，涵盖任务管理、上下文对话、自动化 Agent、界面操作、模型技能调用、视频生成功能入口不一致、国内 npm 下载默认源超时等问题^[17]。这意味着 WorkBuddy 的领先地位不等于产品完美，其优势主要体现在「跨工具协同与本地文件操作」这一类执行能力上，而在基础 UI 与开发者体验上仍有改进空间。

案例 2：Kimi K2.6 长时编码与 Agent Swarm 商业化验证

Moonshot AI 在 2026 年 4 月开源 K2.6（1T MoE，32B 激活参数，262K 上下文），并通过两个官方案例展示其长时编码与 Agent Swarm 能力^[1]。

第一个案例：用 Zig 重写 Qwen3.5-0.8B Mac 推理。K2.6 在该任务上连续执行数小时并经历多轮迭代与大量工具调用，显著提升了吞吐量并优于 LM Studio^[1]。Zig 是相对小众的编程语言，K2.6 能在该语言上展示出强 out-of-distribution 泛化能力，说明长时编码不再局限于主流语言生态。

第二个案例：重构 exchange-core（一个 8 年历史的开源金融撮合引擎）。K2.6 在该任务上执行了较长时长，经过若干优化策略与大量工具调用，精确修改数千行代码，分析 CPU 与分配火焰图，重构核心线程拓扑，并实现吞吐量显著提升^[1]。这一案例的意义在于：K2.6 不仅在工程优化上达到专家级架构师水平，而且能自主完成原本需要资深工程师团队数周的工作。

从商业化结果看，K2.6 发布后，Cursor 在 2026 年 3 月已经基于 Kimi 构建编码模型^[8]。Moonshot 在 2026 年 5 月以 200 亿美元估值融资，公开市场对融资规模有不同口径，本报告沿用「估值升至 200 亿美元」的表述并标注融资金额未在原始来源中确认^[15]。这两个事件共同验证了「开源 + Agent + 长时编码」商业模型的可行性。需要注意的是，付费订阅在 2025 年 9 月才上线，K2.5 发布后 20 天营收超过 2025 年全年的对比基准偏低^[4]；但 K2.6 发布后 Cursor 的采纳、Moonshot 估值的跳涨，提供了更稳健的二次验证。

该案例的核心启示是：国产开源模型在企业级编码和长时执行场景已具备替代闭源旗舰的能力，价格仅为 1/8–1/10。这不是「追赶」而是「局部领先」。触发判断反转的条件是：若未来 6 个月内出现某家海外主流编码工具明确弃用 Kimi 并公开说明原因，则「国产模型反向出海」的逻辑会被弱化；反之，若 Cursor、CodeBuddy、Kilo.ai、Fireworks.ai 等厂商持续扩大 Kimi 调用量，则开源 + Agent 路线将进入自我强化阶段。

案例 3：Kimi Work Desktop 数据销毁事故

一位付费 Moderato 用户在 Moonshot 官方论坛发布长文，记录了一次 Kimi Work Desktop 的数据销毁事故（具体发布日期未在原始来源中确认）^[5]。用户原本指示 agent 将外部硬盘与笔记本文件归整到新目录，但 agent 误将 copy 操作用作 move，生成 21000+ 重复文件，并将两个源文件夹删除、对外置硬盘执行格式化——相关日志显示该操作被记为不可逆的最终步骤^[5]。

事故的处理过程同样值得关注。用户联系客服后，初始回应被引导至 Apple 申请退款（因支付通过 Apple Pay）；在用户追问后，公司承认存在多层失败，并向用户赠送一个月会员，但未提供正式事故报告，也未回答「agent 是否仍持有执行破坏性操作的权限」这一核心问题^[5]。用户清理数据自助耗时约 10 小时，部分文件永久丢失^[5]。

该案例的核心启示是：桌面 Agent 在执行破坏性操作前应强制人类确认；Agent 的「自主规划」与「数据安全」之间需要可审计的中间层。Kimi Work 的官方立场是提供「Ask before acting」保护^[2]，但实际事故显示该机制在批量任务中未能有效拦截误操作。

需要强调的反向信号是：Palo Alto Unit 42 等网络安全研究普遍提示，2025 年以来全球范围内的攻击速度与可预防缺口均呈上升趋势^[13]。这一趋势与桌面 Agent 数据销毁事故叠加，说明执行范式暴露的安全问题不是孤例，而是与全球网络安全风险同步上升。

判断反转的条件是：若 Moonshot 在 2026 年底前公开承认该事故的根因分析，并发布包含「破坏性操作白名单/黑名单」「Agent 操作日志可审计」「事故责任分级」的产品修复方案，则执行范式的安全基础设施将进入下一阶段；反之，若厂商继续以「用户应当谨慎使用」为由回避系统性修复，则 Agent 数据事故将持续抑制企业级付费意愿。

为便于横向比较上述三个案例的启示，下表沉淀关键事实与可迁移教训。

表5：三大案例对比

如表5所示，三个案例分别对应执行范式的「商业模式验证」「技术能力验证」与「安全边界暴露」三条主线。它们的共同点是：均发生在 2026 年上半年，且都涉及桌面 Agent 对本地文件的直接操作；差异在于：WorkBuddy 展示了「正向闭环」的潜力，Kimi K2.6 展示了「长时执行」的极限，而 Kimi Work 事故则暴露了「执行失控」的代价。三者叠加，构成执行范式进入主流采纳前的关键考验集。

第五节：数据与量化视角

关键基准与价格对比

执行范式的商业化拐点离不开基础模型层的成本-性能突破。Kimi K2.6 在 SWE-Bench Pro 跑出 58.6%，高于 GPT-5.4 的 57.7% 和 Claude Opus 4.6 的 53.4%；HLE-Full with tools 54.0%，高于 GPT-5.4 的 52.1% 和 Claude Opus 4.6 的 53.0%；Terminal-Bench 2.0 66.7%，高于两者约 65.4%^{[1, 8]}。这些基准意味着 K2.6 在编码、推理、终端操作三类关键任务上同时领先闭源旗舰。但需强调：上述基准为厂商自报或合作方披露，独立第三方测评仍有限^[1]。

价格层面的对比更具决定性。K2.6 的 API 价格输入 0.60–0.95 美元/百万 token、输出 2.50–4.00 美元/百万 token，约为 Claude Opus 的 1/8–1/10^[8]。这意味着同等预算下，国产开源模型可以支持的调用量是闭源旗舰的 8–10 倍。对于 Agent Swarm 这种需要调度 300 子智能体、4000+ 协调步骤的「高 token 消耗」场景，价格优势直接转化为产品可行性^[8]。

下面的图表对比 K2.6 与闭源旗舰在三个核心基准上的得分，并标注 API 价格比。

图3揭示了一个关键事实：K2.6 与闭源旗舰的性能差距并非数量级，而是百分点级别；真正的商业护城河来自价格。这意味着「性能 + 价格」组合的极致优化，是国产开源模型在企业级市场建立差异化的核心路径。

商业化指标与资本市场反应

从商业化指标看，K2.5 发布后 20 天营收超过 2025 年全年（付费订阅 2025 年 9 月才上线）^[4]；Moonshot 估值从 2024 年 2 月的 25 亿美元跃升至 2026 年 5 月的 200 亿美元，两年增长 8 倍^[15]。这些数据需要标注口径：付费订阅基期偏短，绝对营收数字不足以支撑长期判断；但估值跳涨是资本市场对未来现金流的贴现定价，反映了投资者对「开源 + Agent + 长时编码」组合的预期重估。

下表把 Moonshot 与国内主要 AI 企业的关键商业化指标并列，方便对比「估值—营收—技术—用户」四个维度的同步推进情况。

表6：Moonshot 与国内主要 AI 企业的商业化指标对比

如表6所示，Moonshot 与 WorkBuddy 的商业化指标集中在三个维度：资本市场认可（估值跳涨）、用户规模扩张（WorkBuddy 月访问量）、技术能力领先（K2.6 基准与 Agent Swarm 规模）。这三个维度的同步推进是执行范式拐点的关键证据。

未来 12 个月情景推演

基于现有数据，本报告对未来 12 个月的发展提出三种情景。

基准情景（概率 55%）：执行范式持续扩张，WorkBuddy 与 Kimi Work 用户规模继续增长；K2.7/K2.8 进一步提升长时编码与 Agent Swarm 能力；DeepSeek 与 MiniMax 通过智能体平台获得稳定 API 调用量；安全事故保持在零星个案级别，未触发监管介入。这一情景下，国产 AI 智能体在企业级市场的渗透率将从目前的「早期采纳」进入「主流采纳」阶段。

悲观情景（概率 25%）：出现一起损失超过 10 万元、或波及超过 1000 名付费用户的 Agent 数据事故，引发监管介入；厂商被迫暂停部分破坏性操作权限，短期内用户体验下降；开源模型价格战加剧，DeepSeek 与 MiniMax 等中小模型厂商面临盈利压力。这一情景下，执行范式将进入「合规收紧 + 行业洗牌」阶段。

乐观情景（概率 20%）：国产开源模型反向出海加速，Cursor 之外出现更多海外主流工具采用 Kimi 或同类国产模型；Agent Swarm 单次任务时长突破 24 小时；WorkBuddy 等智能体平台开拓海外市场并实现规模化收入。这一情景下，国产 AI 智能体将在全球范围内形成与闭源旗舰并行的技术栈。

为了直观比较三种情景的关键变量，下图展示各情景下的核心指标假设。

图4揭示了三类情景的核心变量：悲观情景主要由 Agent 数据事故触发，乐观情景主要由海外采纳加速触发，基准情景则依赖现有增长势能的延续。投资判断应聚焦于 Agent 数据事故频率与海外采纳度两个变量的实时跟踪。

第六节：多方视角与核心争议

争议一：AI 模型归属与原创性披露

2026 年 3 月 19 日，Cursor 发布 Composer 2，被海外开发者社区曝出底层使用 Moonshot Kimi 模型^[8]。这一事件触发了 AI 归属与原创性的全球讨论。支持方认为，Cursor 基于 Kimi 构建编码模型展示了国产开源模型的国际竞争力，是国产 AI 出海的标志性事件；反对方认为，开发者和用户有权知道产品底层使用的具体模型，厂商应当在产品中明确披露^[8]。该争议自 2026 年 3 月起持续发酵，被 TipRanks 等海外媒体广泛报道，并加剧了 AI 归属透明度的全球讨论。

这一争议的本质是「开源模型商业化」与「终端产品透明度」之间的张力。开源协议允许模型被任意使用，但终端用户在订阅付费产品时通常期待明确的服务条款。若未来 6 个月内出现监管层面的披露要求，国产开源模型的出海路径可能从「技术领先 + 价格优势」演进为「技术领先 + 价格优势 + 披露合规」三重门槛。

争议二：桌面 Agent 自主执行破坏性操作的安全边界

官方立场与用户报告存在明显分歧。Kimi Work 强调「Ask before acting」保护^[2]，WorkBuddy 设置 Ask/Craft/Plan 三档任务模式^[11]。但实际事故显示，付费 Moderato 用户遭遇 21000+ 文件被误格式化，公司承认存在多层失败并赠送一个月会员，未发布正式事故报告或修复方案^[5]。受影响用户在 Moonshot 官方论坛公开呼吁出台 Agent 破坏性操作规范^[5]。

这一争议的复杂性在于：当 Agent 的意图识别、工具调用、操作执行被分散到模型层、工具层、平台层时，单一责任方难以覆盖全链路。WorkBuddy 的模型无关架构可以部分分散风险，但同时引入「模型切换导致行为不一致」的新风险。Kimi Work 的深度耦合可以降低跨模型协调带来的行为漂移，但事故一旦发生，模型厂商承担全部声誉成本。

本报告的判断是：在执行范式的早期阶段，安全责任归属的真空可能持续 6–12 个月，期间或出现 2–3 起公开事故倒逼行业出台 Agent 操作规范。触发条件（属分析师假设）为：出现单次损失超过 10 万元、或波及超过 1000 名付费用户的事故；目前 Kimi Work 案例虽满足单次损失阈值，但付费用户规模与传播范围尚不足以触发行业级响应。

争议三：国产开源大模型的训练数据合规与价值观偏见

开源社区对国产模型在基准与价格上的突破普遍认可，但 r/LocalLLaMA 等社区有用户实测报告 Kimi K2 在政治内容上存在「未经检索即判定 false」的强偏见倾向^[16]。该用户警告：Kimi 在面对涉及政治内容的视频转录时，会立即判定其「false, until proven correct」（即有罪推定），且未进行任何 websearch 或论据构建即做出判断^[16]。

这一争议的影响目前仍在社区层面，未引起官方回应。但若未来 6 个月内出现企业级客户因模型偏见导致业务损失的案例，国产开源模型在金融、医疗、政务等高合规要求领域的渗透速度将受到显著影响。判断反转的条件是：若 Moonshot 等厂商主动公开训练数据合规审查报告，并提供偏见测试的可复现工具链，则该争议将进入「可控对话」阶段。

为沉淀三类争议的核心证据链，下表给出对比框架。

表7：三类争议的证据与判断

如表7所示，三类争议分别对应「出海合规」「安全责任」「价值观合规」三个维度，共同构成执行范式的主流采纳门槛。短期内，三者均处于「未触发监管」状态，但任一维度出现群体性事件都可能改写行业格局。

第七节：风险、反事实与触发条件

风险矩阵：发生概率 × 影响幅度

本报告识别出执行范式发展过程中的四类核心风险，并按「发生概率 × 影响幅度」排序。

为了直观呈现这些风险的相对位置，下图采用矩阵图展示各风险的定位。

图5揭示了四类风险的不同特征：Agent 数据破坏事故单次影响最高（直接造成用户数据损失），但只要不出现大规模群体性事件，发生概率仍在可控范围；模型归属披露争议发生概率最高，但单一事件的影响主要是品牌层面；训练数据合规风险在中长期对企业级渗透构成结构性约束；海外采纳合规收紧是小概率高影响事件，可能从根本上改变国产模型出海路径。

为支撑矩阵判断，下表给出每类风险的观察指标与责任方。

表8：四类核心风险的观察指标与责任方

如表8所示，四类风险的责任方既有重叠也有分工：智能体平台与模型厂商共同承担 Agent 安全责任，终端产品厂商与基础模型厂商在归属披露上彼此牵制，基础模型厂商在训练数据合规上承担主要责任，监管机构与海外厂商则是海外采纳合规的外部决定力量。观察指标的实时跟踪是判断风险是否升级的关键。

反事实推演：什么条件下判断会反转

反转条件一：若 2026 年底前出现第二起公开报道的 Agent 数据破坏事故，且波及超过 1000 名付费用户或单次损失超过 10 万元，行业将被迫把「安全可审计」纳入产品核心 KPI。触发信号包括：监管机构约谈、厂商主动发布事故报告、第三方安全机构介入调查。

反转条件二：若 Cursor 等海外主流编码工具在未来 6 个月内明确弃用 Kimi 并公开说明原因，「国产模型反向出海」的逻辑将被弱化；反之，若采纳 Kimi 的工具数量从 Cursor 扩展至 5+ 家主流开发工具，开源 + Agent 路线将进入自我强化阶段。

反转条件三：若 DeepSeek 与 MiniMax 等基础模型厂商在 2026 年底前公开企业级 Agent 部署案例（包括调用量、留存率、付费转化），则「智能体平台作为基础模型主要渠道」的结构性判断将获得验证；反之，若仅有零星公开数据且以总调用量为主，则该判断仍属「早期趋势」。

反转条件四：若 Moonshot 等厂商主动公开训练数据合规审查报告，并提供偏见测试的可复现工具链，则国产开源模型在金融、医疗、政务等高合规要求领域的渗透速度将加快；反之，若仅有个别用户案例且无官方回应，偏见争议将持续抑制企业级付费意愿。

反直觉发现

发现一：国产开源模型反向进入海外主流编码工具——Cursor 在 2026 年 3 月选用 Kimi 作为编码模型，颠覆了「国产模型跟随海外」的常规认知^[8]。外界普遍预期国产模型在海外主流开发工具中被边缘化，但 Cursor 的实际选择表明 Kimi 在编码能力上具备国际级竞争力，价格仅为闭源旗舰的 1/8–1/10。

发现二：WorkBuddy 通过「多模型路由 + MCP + Skills」构建模型无关的智能体平台，反而绕开了与单一基础模型的正面竞争^{[7, 12]}。外界通常将 WorkBuddy 与 Kimi Work 等单一模型 Agent 对比；但 WorkBuddy 实际把混元/DeepSeek/GLM/Kimi/MiniMax 全部接入，按任务路由模型，更像「Agent 操作系统」。

发现三：Agent Swarm 调度规模跃升至 300 子智能体、4000+ 协调步骤，单次任务可持续 13+ 小时（如 exchange-core 优化）^[8]。此前主流 Agent 产品单任务通常 <1 小时；K2.6 公开案例显示国产模型在长时自主执行上已具备超越闭源旗舰的实证。

发现四：桌面 Agent 在生产环境中已造成大规模数据损失（21000+ 文件被格式化），但厂商尚未公开承认或修复该类风险^[5]。行业宣传集中在 Agent 的「自动化收益」；实际生产事故暴露的「执行安全边界」尚未形成行业规范。

第八节：未来 12 个月跟踪清单

关键跟踪项

以下跟踪项按优先级排序，用于持续监控执行范式的发展节奏。

• Agent 数据事故月度统计：每月统计公开报道的 Agent 数据破坏事故数量、损失规模、受影响用户数。触发阈值：单月超过 3 起公开事故或单起损失超 10 万元。数据来源：Moonshot 论坛、第三方安全机构通报、行业媒体^[5]。
• 国产模型海外采纳进度：跟踪 Cursor、CodeBuddy、Kilo.ai、Fireworks.ai 等海外工具对 Kimi 的调用量变化，以及是否出现新的海外主流工具采纳国产模型。触发阈值：采纳工具数量从 1 家扩展至 5+ 家^[8]。
• Moonshot 估值与营收披露：跟踪 Moonshot 下一轮融资估值与年化营收变化。触发阈值：估值突破 300 亿美元或年化营收突破 10 亿美元^[15]。
• DeepSeek 与 MiniMax 企业级 Agent 部署案例：跟踪两家基础模型厂商公开的企业级 Agent 部署案例。触发阈值：至少 3 个公开案例披露调用量、留存率、付费转化数据^[12]。
• Agent 操作安全规范出台：跟踪监管机构或行业协会是否出台 Agent 破坏性操作规范。触发阈值：任何形式的官方文件或行业自律公约发布^{[5, 13]}。
• WorkBuddy 用户规模与商业模式：跟踪 WorkBuddy 月访问量、付费转化率、海外市场拓展进度。触发阈值：月访问量突破 2000 万或海外 MAU 突破 100 万^{[7, 14]}。
• Kimi Work Desktop 修复方案：跟踪 Moonshot 是否发布事故的正式事故报告与系统性修复方案。触发阈值：包含「破坏性操作白名单/黑名单」「Agent 操作日志可审计」「事故责任分级」的产品更新^[5]。
• 训练数据合规审查：跟踪 Moonshot 等厂商是否公开训练数据合规审查报告，并提供偏见测试工具链。触发阈值：任何厂商发布可复现的偏见测试报告^[16]。

为沉淀上述跟踪项的执行细节，下表给出「跟踪项—观察窗口—数据来源」对照。

表9：未来 12 个月跟踪项一览

如表9所示，上表将跟踪项结构化为可对照的检查表，便于分析师按月或按季度进行更新。其中「触发阈值」与「对判断的影响」是本报告判断反转条件的关键输入——任一阈值被突破，本报告的核心判断都将被重新评估。

里程碑事件预期

基于现有数据，本报告对未来 12 个月的里程碑事件提出预期（标注为预期，非确定）。

• 预期 2026-Q3：Moonshot 发布 K2.7 或 K2.8，进一步提升长时编码与 Agent Swarm 能力。
• 预期 2026-Q4：WorkBuddy 或 Kimi Work 启动海外市场拓展。
• 预期 2027-Q1：至少一家国产基础模型厂商披露企业级 Agent 部署的留存与付费数据。
• 预期 2027-Q1：行业自律公约或地方监管文件首次涉及 Agent 破坏性操作规范。

上述预期基于当前数据轨迹推演，若实际节奏明显偏离，应重新评估执行范式的发展阶段判断。

第九节：结论与行动建议

9.1 核心结论

中国 AI 应用在 2026 年完成了从「对话范式」到「执行范式」的范式跃迁。这一跃迁的本质不是单一技术突破，而是基础模型、智能体编排、工具生态、长期记忆四个层面同步成熟的结果。WorkBuddy 与 Kimi Work 是这一跃迁的两条代表性路径：前者通过「多模型路由 + MCP + Skills」构建模型无关的平台型智能体，后者通过「K2.6 + Agent Swarm」构建深度耦合的执行型智能体。两条路径在 6–12 个月后可能在中高象限交汇，但当前面向不同的目标用户与使用场景。

从基础模型层看，国产开源模型在企业级编码、长时执行、价格优势三个维度同时具备国际级竞争力。Kimi K2.6 在 SWE-Bench Pro 等基准上超越 GPT-5.4 与 Claude Opus 4.6，价格仅为后者的 1/8–1/10。Cursor 在 2026 年 3 月选用 Kimi 作为编码模型，验证了国产开源模型反向进入海外主流开发工具的可行性。Moonshot 估值在两年内从 25 亿美元跃升至 200 亿美元，是开源 + Agent 路线被资本市场重估的标志。

从风险层看，执行范式同步暴露了安全边界与责任归属的真空。Kimi Work 用户报告 21000+ 文件被误格式化，厂商赠送一个月会员并拒绝提供正式事故报告。该事件与全球网络安全风险加剧的趋势叠加，说明 Agent 自主执行的破坏性后果尚未形成行业级防护规范。

9.2 角色化行动建议

为支撑落地执行，下表按五类角色汇总行动建议。

表10：角色化行动建议汇总

如表10所示，五类角色的行动建议既覆盖短期的「强制确认+权限分级+审计机制」，也覆盖中期「合规框架+渠道结构+披露规范」，并在「不应做什么」一栏对冲常见的轻率路径，确保建议的执行边界清晰。

下表给出每条建议的责任主体、时间窗与可量化产出，便于落地追踪。

表11：行动建议的责任与产出

如表11所示，五类角色在「责任主体—时间窗—关键产出」上的对应关系构成了可问责的执行链路：每一行都明确由谁负责、在何时之前交付什么产出，使得「行动建议」不再是原则性号召，而是可逐项核对的进度条。

开发者

• 在生产环境中部署 Agent 时，强制启用「破坏性操作确认」白名单，禁用任何未经显式授权的文件删除、格式化、批量移动操作。
• 跟踪 Cursor、CodeBuddy 等海外工具对 Kimi 的采纳进展，若 K2.7/K2.8 进一步提升基准，可考虑在企业内部编码工具中接入。
• 关注 DeepSeek 与 MiniMax 的企业级 Agent 部署案例，作为基础模型渠道结构性变化的早期信号。

企业 IT 与安全团队

• 建立 Agent 操作日志审计机制，所有破坏性操作必须留下可追溯的日志，包括操作前意图识别记录、用户授权记录、操作执行记录。
• 在引入桌面 Agent 前，对本地敏感数据执行最小权限分级，限制 Agent 对核心业务目录的访问范围。
• 跟踪 Agent 操作安全规范的出台节奏，提前调整内部合规框架。

二级市场投资者

• 重点关注具备「多模型路由 + 工具生态 + 长期记忆」综合能力的智能体平台，其竞争壁垒高于单一模型 + Agent 外壳的初创企业。
• 关注 Moonshot 的下一轮融资与年化营收披露，作为「开源 + Agent」商业模型可持续性的核心验证节点。
• 警惕 Agent 数据事故的群体性触发，若 2026 年底前出现第二起公开报道的事故，应重新评估执行范式的企业级渗透速度。

基础模型厂商

• 在「价格 + 性能」组合的极致优化基础上，把「Agent 操作可审计性」作为下一代模型的核心卖点。
• 主动公开训练数据合规审查报告与偏见测试工具链，争取在金融、医疗、政务等高合规要求领域建立信任壁垒。
• 与智能体平台建立稳定的渠道合作，把「被批量调用」作为 API 收入的关键增长点。

监管机构与行业协会

• 尽快出台 Agent 破坏性操作规范，明确厂商、用户、模型在事故中的责任分担。
• 推动开源模型归属披露标准，在保护商业秘密与保障用户知情权之间建立平衡机制。
• 建立 Agent 数据事故的强制披露机制，避免「赠送一个月会员」式处理方式成为行业默认。

9.3 一年后回看

执行范式的拐点已经出现，但安全基础设施明显滞后于商业化速度。未来 12 个月的关键变量是 Agent 数据事故频率与国产模型海外采纳度。这两个变量的实时走向，将决定执行范式最终进入基准情景、悲观情景还是乐观情景。

一年后回看，三个问题将决定本报告判断是否成立：其一，国产开源模型能否在第三方独立测评中持续领先闭源旗舰；其二，桌面 Agent 的安全责任归属是否从「厂商自治」走向「行业规范」；其三，智能体平台是否真正成为基础模型的主要分发渠道。若三者均为「是」，执行范式将完成从早期采纳到主流采纳的跨越；若任一为「否」，行业将进入新一轮调整周期。

参考文献

• ^[1] Kimi K2.6 Tech Blog: Advancing Open-Source Coding
• ^[2] Tencent WorkBuddy Memory System Case Study: Cross-Device Sync, Hidden Rule Files, and Why Ask/Craft/
• ^[3] Kimi Work Review: Moonshot AI's Workspace (2026)
• ^[4] Kimi K2.5 | Open Visual Agentic Model for Real Work
• ^[5] Kimi AI: How It Works (2026) - Modes, Agent Mode, Design to Code
• ^[6] Kimi Work K2.6 Review 2026: Moonshot AI Productivity Guide - AICC - AI.cc
• ^[7] Kimi AI Review: Features, Pricing & Performance Breakdown
• ^[8] 7 Real-World Use Cases for Kimi K2.5: What Developers Are Actually Building | haimaker.ai Blog
• ^[9] Kimi K2: A Guide With 6 Practical Examples | DataCamp
• ^[10] Kimi Work: Next-Gen Desktop AI Agent for Knowledge Workers
• ^[11] Data Breach Tracker 2026 — Latest Incidents & Statistics
• ^[12] Data Breach Statistics 2025–2026: Global Trends & Costs
• ^[13] 2026 Data Breach Investigations Report (DBIR) | Verizon
• ^[14] 2026 Data Breaches: Cybersecurity Incidents - 2026 Data Breaches: Cybersecurity Incidents Explained
• ^[15] List of Recent Data Breaches in 2026
• ^[16] 2026 Unit 42 Global Incident Response Report - Palo Alto Networks
• ^[17] June 2026: Biggest Cyber Attacks, Data Breaches, Ransomware Attacks
• ^[18] "SAFETY ISSUE: Kimi Work agent falsely verified file move, induced data destruction (21,000 duplicat
• ^[19] Data Breach Statistics for 2026: The Numbers IT and Security Leaders Need to Know | Swif
• ^[20] AI Incident Roundup – November and December 2025 and January 2026