Agent 自动化本该以干净的企业 SaaS 形式出现：CRM 配上 AI 副驾，IDE 配上 AI 结对程序员，没人需要深究到底在建模什么。更混乱的版本已经在中国科技公司内部投入生产，运行载体是 GitHub。MIT Technology Review 这周发了篇关于 Colleague Skill 的报道，作者是上海人工智能实验室的周天嬿。这个工具顾名思义。给它一个同事的名字，它就去抓取你公司的聊天应用，回给你一份 agent 可以回放的工作流手册。

机制很直接。Colleague Skill 从飞书和钉钉（中国企业版的 Slack 和 Teams）拉取聊天记录和文件，把数据送入蒸馏流水线，输出一份描述岗位职责加上「独特习惯」的文档供复制。MITTR 的稿子没说清楚哪个模型驱动了蒸馏环节，周本人也没公开架构细节。被记录下来的是数据底料：工作场所的聊天日志、文件元数据，以及足够编码出人格的行为信号。另外，另一位工程师 Koki Xu 在 4 月 4 日发布了一款反蒸馏工具，带有轻、中、重三档破坏模式，在工作流文档被吸收之前把输入改写成「通用的、不可操作的语言」。这款破坏工具的演示视频拿下超过 500 万点赞。

这是 agent 部署的真实形态，不是 pitch-deck 版本。部署面不是一个干净的 API，也不是打磨得漂漂亮亮的企业功能；它是你的雇主能够触达的任何数据，尤其是绝大多数知识工作真正发生的聊天记录和共享文件。反制动作不是政策，是工程。Xu 的工具本质上是对抗性数据整形，由那些其产出就是训练信号的工人自己执行。如果你在做 agent 工具，这个信号值得注意：你想捕获其知识的人们有 shipping 文化，他们已经在把蒸馏流水线当作需要被扰动的敌对输入。

两点供咀嚼。第一，聊天 app 抓取才是真正的训练底料——飞书、钉钉、Slack、Teams、Notion 是信号所在，而依赖干净手写 SOP 的 agent 工具正在错过真实的数据分布。第二，破坏模式会泛化开来。一旦轻/中/重档的对抗性工作流改写模式流行起来，你就会看到它被部署到每一个输入为用户可见工作场所内容的「你的 AI 同事」工具上。如果你的 agent 流水线把蒸馏输入当成可信的，请为它不可信做好准备。