Salesforce Winter '27 版本今日正式全面可用。此次更新最显著的变化在于，能够执行关键 CRM 工作流的自主智能体（Autonomous Agents）现已在所有符合条件的 Lightning Enterprise、Performance、Unlimited 和 Developer Edition 组织中默认运行。这一变更由 Salesforce 直接推行，而非由 IT 团队手动启用。此前允许管理员关闭 Agentforce 的设置选项正被彻底移除，这意味着长期以“选择加入”模式运行的企业组织，即刻面临新的治理义务。
风险核心并非功能本身，而在于智能体启动时所继承的“权限债务”（Permission Debt）。智能体在运行时会完整继承用户上下文中的所有权限配置文件，这些权限往往是在多年的组织增长、团队重组和累积授权中形成且从未撤销的。当人类操作受限于速度时，携带权限债务的危害有限；但当 Agentforce 智能体以平台 API 调用速度执行时，潜在损害将被急剧放大。
从“选择加入”到“强制默认”
过去一年，部署 Agentforce 曾是需经 IT、合规及安全团队层层审计的慎重决策。然而，自 2026 年 9 月起，Salesforce 开始向现有生产组织自动推行该功能，Winter '27 的发布标志着这一推广的最终完成。在包含 Foundations 的 Lightning Enterprise、Performance、Unlimited 和 Developer Edition 等版本中，Agentforce 现已免费且强制开启。
Salesforce 将此比作早期的 Lightning 界面迁移，但二者性质截然不同：Lightning 仅改变界面，而 Agentforce 改变了平台以自主、大规模方式操作实时 CRM 记录的机制。企业级 Salesforce 环境通常充斥着层叠的权限授予、共享规则和 OAuth 范围，自动启用并未审计这些访问权限，而是直接激活了它们。
权限债务：被放大的攻击面
在成熟组织中，权限积累具有可预测性。员工入职、转岗或项目结束后，往往缺乏标准的权限清理步骤，导致用户上下文积累大量失效或过度的访问授权。Agentforce 智能体在运行时并非按需使用权限，而是在每次工作流步骤中操作所有可用权限。例如，原本仅为特定交易偶尔访问产品目录的人类销售，其对应的智能体可能在一周内通过自动化流程查询数千次。
此类风险已有实证。2025 年 7 月，Noma Labs 披露了 CVSS 9.4 级的 ForcedLeak 漏洞。攻击者可通过 Web-to-Lead 表单字段嵌入隐藏指令，诱导 Agentforce 提取并泄露 CRM 记录中的电子邮件地址。尽管 Salesforce 于 2025 年 9 月 8 日通过受信任 URL 执行进行了修补，但这仅关闭了单一攻击向量，并未消除构成泄露基础的庞大权限表面。
此外，模型上下文协议（MCP）的普及引入了新维度。作为 Anthropic 于 2024 年 11 月创建的开放标准，MCP 已成为企业 AI 连接的主流框架。然而，NSA 于 2026 年 5 月警告其安全差距，指出其扩散速度超过安全模型开发速度。2026 年 7 月的无状态协议修订移除了会话跟踪，虽降低开销，却也削弱了合规团队重建智能体行为轨迹的能力。
IT 团队的紧急应对清单
在设置开关完全消失前，IT 和安全团队需立即执行以下审计步骤：
审查“管理 AI 智能体”权限： 确定谁有权创建和激活智能体，撤销无具体运营需求角色的访问权限。
审计用户上下文： 智能体以指定用户身份运行，其权限配置文件定义了爆炸半径。应遵循最小特权原则，确保智能体仅携带执行特定工作流所需的权限。
收紧共享规则与默认设置： 检查是否存在针对敏感对象的公共读写默认设置，以及为已解散团队建立的共享规则，防止智能体以机器速度暴露不应公开的数据。
利用紧急停止开关： 在 Einstein 设置页面移除前，若组织尚未准备好，应立即使用该页面的管理员开关暂停激活，以争取审计时间。
盘点提示注入向量： 映射所有接收外部输入且智能体可读取的字段（如 Web-to-Lead 描述、案例注释），评估恶意写入对智能体行为的影响。
财务数据印证了风险的严峻性。截至 2026 年 7 月 31 日的 FY27 第二季度，Agentforce 年度经常性收入超 15 亿美元，同比增长超 240%。然而，Gartner 预测到 2027 年底，超 40% 的智能体 AI 项目将因监督不足和风险低估而被放弃。AI 使用与合规研究所报告指出，64% 的十亿美元级企业在过去一年因 AI 智能体故障损失超 100 万美元。
Winter '27 核心功能概览
除治理挑战外，Winter '27 还发布了多项实质性功能：
Agentforce Contact Center： 扩展至 30 多个国家，整合 CRM、语音和 AI，无需第三方集成即可提供统一的人机服务层。
Agentic Commerce Search： 采用针对商家目录训练的小型语言模型取代关键字搜索。数据显示，上线商家转化率提升 13%，加购率增加 17%。
Autonomous Scheduling with Agentforce Voice： 智能体可直接检查技术人员可用性并确认预订，将原本需 15 分钟的人工互动缩短至几秒。
Adaptive Experiences and Dynamic Plans： 专用智能体可实时监听服务对话并动态生成解决方案计划，无需人工升级。PowerSchool 等企业已在超 550 名用户中部署该功能。
Agent Skills and Plugins： 提供 30 多个预建工作流技能及 MCP 连接器。Salesforce Development 插件已在 Claude Code 市场可用，这是 Salesforce 与 Anthropic 合作后的早期分发信号。
其他更新包括 Agentforce Marketing Goals Agent、Revenue Management Agent Enhancements、Slack Code、Tableau Knowledge 以及 Informatica Headless 等。行业垂直能力方面，推出了针对保险的 Claims Service Customer Assistance、针对制药行业的 Voice Based Visit Logging 以及针对轮班工人的 Slack Frontline。
第三方编排与新风险
Winter '27 引入了第三方智能体编排能力。通过 A2A（智能体到智能体）协议，Agentforce 可编排 AWS、Azure 和 Google Cloud 上的智能体，也可作为子智能体参与外部编排。A2A 协议于 2026 年 4 月在 Linux Foundation 下达到 v1.0 稳定性，拥有包括 Amazon、Google、Microsoft 在内的超 150 个参与组织。
这种架构将治理表面扩展至 Salesforce 边界之外。当 Agentforce 在外部编排器下运行时，外部系统对 Salesforce 环境的访问仍通过智能体的权限配置文件中介。以 Claudeforce 合作伙伴关系为例，Claude 通过 AIforce 和 Amazon Bedrock 集成到 Atlas Reasoning Engine 3.0 中。由于 Atlas 3.0 基于自然语言描述路由任务，工具描述的质量治理成为新的企业 IT 风险点。
Fidelis 架构的局限性
Salesforce 推崇其 Fidelis 架构，主张每个智能体动作都与 Data Cloud 内受治理的记录关联，且数据访问经由既有安全层中介。这一架构在结构上具有有效性，相比独立智能体框架提供了更强的约束。
然而，Fidelis 忠实地执行权限模型，却不清理权限模型。大多数企业组织存在的“权限债务”意味着智能体继承了反映历史业务增长的过度访问权，而非其实际所需的最小权限。随着 Gartner 指出的“人工监督不足”成为项目失败主因，能够在人类发现错误前以生产规模执行关键操作（如预订、创建案例、提交索赔）的智能体，带来了前所未有的风险。
展望
Winter '27 确认了八月和九月的月度更新已捆绑其中。对于开发人员，API 68.0 引入了 AiAgentDefinition 等新元数据类型及浏览器内 IDE。此外，Nonprofit Cloud 和 Education Cloud 已完成向 Agentforce Nonprofit 和 Agentforce Education 的品牌过渡，标志着 Agentforce 已从单一产品演变为 Salesforce 的基础设施层。
春季 '27 将检验这一默认策略的市场接受度。但对于当下的 IT 安全团队、合规官员和管理员而言，核心问题不再是 Agentforce 是否就绪，而是你的组织是否已准备好应对默认开启带来的治理挑战。