一个 AI 能看懂广告报表，和它能改预算、发内容、给客户回信，是四件完全不同的事。
很多品牌接入 Agent 时，容易把这些能力压缩成一个开关：连接账号，然后选择“允许”或“不允许”。真正进入日常运营后，问题却不是要不要用 AI，而是它在哪一步必须停下来等人。
2026 年 9 月 29 日，Meta 发布 Muse for Small Business。官方描述中，Muse 可以连接 Instagram 专业账号分析、Facebook Page、Meta 广告账户，以及 Shopify、Klaviyo、QuickBooks、Stripe、Slack 等工具；它可以分析销售、广告和社媒表现，提出增长计划，甚至为下一周起草营销活动。Meta 同时强调，未经用户批准，Muse 不会发布、发送或花钱。
这句话比功能清单更值得品牌注意。一个能跨广告、内容、店铺与财务系统工作的 Agent，真正需要设计的不是 Prompt，而是权限。
“能做”不等于“现在就该做”
Meta 自己的安全说明写得很直接：Agent 会犯错，也可能受到所读取数据中的恶意指令影响。Muse 因此把连接器动作交给独立的权限系统判断，并把读取与写入尽可能分开。批准也不是单一状态，而可以限定为一次、一个会话、一项任务、一段时间或持续有效。
Shopify 在 2026 年春季公布的 Campaign Autopilot 也体现了同一种思路。它可以在 Facebook、Instagram、Shop 和邮件渠道自动运行营销活动，但活动仍围绕商家设置的预算、地区、目标回报和权限条件执行，目前处于 early access。
这些公司公告只能证明相应产品正在提供或测试什么，不能证明所有营销工作已经适合无人值守。相反，它们共同说明了一件事：自动化越接近真实账号、真实受众和真实资金，权限设计越不能留到最后。
ONCE Marketing Agent Permission Ladder
ONCE 建议不要直接讨论“全自动”或“人工操作”，而是把营销 Agent 拆成五级权限。每一项任务单独定级，而不是给整个账号一个总授权。
| 级别 | Agent 可以做什么 | 典型任务 | 人需要控制什么 |
|---|---|---|---|
| L0 观察 | 只读资料和数据 | 汇总广告表现、检查素材库存、发现 FAQ 缺口 | 数据范围、访问期限 |
| L1 建议 | 输出判断和行动方案 | 推荐创意方向、预算分配或需要补拍的镜头 | 是否采纳、判断依据 |
| L2 起草 | 创建但不对外生效 | 写文案、生成剪辑候选、建立广告草稿 | 产品事实、品牌表达、权利 |
| L3 待批准执行 | 完成发布前的准备 | 上传素材、设置受众、排期、填写预算 | 最终版本、渠道、时间、金额 |
| L4 限额自治 | 在明确条件内执行和调整 | 使用已批准素材，在限定周期与额度内测试 | 硬性上限、异常暂停、回退方案 |
这里的 L4 是 ONCE 提出的治理层级，不代表 Meta Muse 当前允许绕过批准自动花钱。它描述的是品牌面对不同 Agent 产品时，应该怎样决定自己愿意开放到哪一步。
大多数品牌的第一次试点，停在 L1 或 L2 就已经能产生价值。让 Agent 先找出低效广告、过期素材和缺失版本，通常比立即让它操作预算更容易验证，也更容易回退。
用五个问题判断动作能不能升级
同一个动作在不同品牌里风险完全不同。自动裁出一个内部预览版，和自动发布一条带健康功效表述的广告，不能因为都叫“内容生成”而得到相同权限。
每次升级前，检查五个维度：
- 资金暴露：会不会产生广告费、折扣、退款或合同承诺？
- 外部影响：结果只在内部可见，还是会面对客户、公众或平台审核？
- 主张与权利：是否涉及产品性能、合规表述、人物肖像、音乐、字体或素材期限？
- 数据敏感度：任务是否读取客户资料、财务、订单、未发布产品或账号权限？
- 可恢复性：出错后能否一键撤销，还是会留下公开传播、预算消耗或客户关系损失？
不需要给它们制造一个看似科学的总分。只要其中一项明显高风险，就应保留明确的人类批准；只在五项都低、回退路径清楚时，才考虑限额自治。
产品视频进入 Agent 工作流，需要一张“执行卡”
Agent 可以快速找到视频、生成版本、建立广告草稿，但它不会凭空知道某个镜头属于哪个 SKU，也不知道模特授权是否到期、产品卖点能否用于美国市场、音乐能否进入付费广告。
因此，产品视频项目除了成片，还应为可复用素材保留一张最小执行卡：
- 素材 ID 与对应 SKU；
- 画面实际证明的产品事实；
- 可用国家、渠道与付费媒体范围；
- 人物、音乐、字体和第三方素材的期限；
- 已批准的横竖版本与可裁切区域；
- 禁止修改或禁止生成的内容；
- 最终批准人和失效日期。
它与 ONCE 之前提出的可复用创意工作流交付不同：工作流说明“如何重复生产”，执行卡回答“这一次 Agent 是否有权使用这份具体资产”。两者缺一不可。
从只读开始，逐级证明可靠性
一个低风险试点可以分成四个闸门：
先观察。 让 Agent 读取一个广告账户和一组已批准素材，只输出问题清单，不改任何设置。
再起草。 允许它建立文案、剪辑和活动草稿，但所有结果都留在内部。
然后待批准执行。 让它完成上传、受众、排期和预算设置，人只检查最后一个批准页面。
最后才考虑限额自治。 只开放给重复性高、素材权利清楚、金额上限明确、随时可暂停的任务。
评估时不要只看 Agent 省了多少时间。还应记录：草稿无需实质修改即可通过的比例、发现多少过期资料、发生多少次回退、每个批准动作需要多少人工分钟，以及最终使用的是哪一个素材 ID。没有这些记录，“效率提升”很容易只是把返工藏到了后面。
品牌真正要保留的是停止权
Meta 的 Muse、Shopify 的 Campaign Autopilot，以及 Adobe 在 9 月 29 日发布的未来营销框架，都把统一数据、明确规则、人工监督与 Agent 执行放在同一套系统中。Google Cloud 对 agentic production 的描述同样强调 human oversight。
ONCE 的判断是：营销 Agent 不应该先从“能否自动发布”开始采购，而应该先问三件事——它能看到什么、它能让什么生效、出错时谁能让它立刻停下。
真正成熟的自动化，不是人彻底离开。它是机器承担大量可逆、可重复的动作，而人把注意力集中在不可逆的决定上。
