假设你在聊天窗口里输入：“给美国站新品做一轮拉新，预算 5 万美元，先跑视频和展示。”几分钟后，系统已经选了受众、拆了预算、生成素材并准备上线。真正危险的不是 AI 做得快，而是团队直到付款和投放发生后，才发现“帮我规划”被理解成了“替我执行”。
直接答案是：没有预算上限、可改字段清单、人工审批、动作日志和一键暂停机制时，广告智能体只能读数据、给建议或生成草稿，不应获得真实执行权限。 品牌要采购的也不只是一个更聪明的投放工具，而是一套可执行、可审计、可撤销的决策权限。
这次变化不是“推荐更智能”，而是 AI 开始能动账户
2026 年 10 月 5 日，TikTok 在官方公告中表示，TikTok for Business MCP 允许开发者把 AI 代理和工具接入广告生态，规划、启动和管理广告工作流；公告同时列出了 Claude、Kimi、Manus、Perplexity、Replit、Snowflake、腾讯 WorkBuddy 与 IAB Tech Lab Agent Registry 等连接入口。这里能被证实的是 TikTok 已开放这种连接与操作路径，不能仅凭该公告推断整个广告行业已经完成智能体化。
Amazon Ads 在 2026 年 9 月 29 日发布的 DVA+ 说明更具体：广告主选择目标、产品或品牌网址，审查 AI 生成素材、设定预算后即可启动；系统可自动处理受众、库存、格式分配、竞价、创意生成和持续优化，也允许进入高级设置手动控制。官方当时说明该产品仍处美国扩展封闭测试，预计 10 月下旬进入开放测试，国际扩展与 35 个市场的全面可用仍是后续目标。换句话说，能力方向已经清楚，可用范围仍要按账户和市场逐项确认。
基础设施也在前移。IAB Tech Lab 2026 年 9 月 22 日发布的 AAMP 3.0 OpenProposal，把原本大量依靠邮件和表格完成的 RFP、提案比较、谈判、买入与报告，连接成智能体可读流程；该规范截至 10 月 22 日仍处公开征求意见。它的 Buyer Agent 参考实现保留了花费前的人工审批，并把报价、谈判、预算分配和买入记录为结构化事件。
这些事实共同说明：广告智能体正在从“告诉你怎么做”走向“能替你做”。ONCE 的分析是，品牌接下来要先设计权限，再讨论自动化率。
ONCE 五层广告代理权限栈
不要用“开启 AI”或“允许自动优化”这种总开关管理风险。把每个智能体放进五层权限栈，逐层授权：
| 权限层 | 智能体可以做什么 | 品牌必须定义什么 | 默认建议 |
|---|---|---|---|
| 读取 | 读取账户、商品、库存、历史表现与已批准素材 | 数据范围、保存期限、跨账户隔离、敏感字段 | 可先开放只读 |
| 建议 | 提出受众、预算、版位、素材和实验建议 | 目标、证据要求、禁用市场、不可接受的推断 | 人工采纳后生效 |
| 草拟 | 建立未启用活动、生成素材、填入追踪字段 | 模板、命名、权利状态、禁用主张、交付检查 | 允许写草稿，不允许花费 |
| 执行 | 启动、调价、移预算、替换素材、增加版位 | 单次与累计预算上限、字段白名单、审批阈值、时段 | 仅在受限范围开放 |
| 停止／恢复 | 暂停异常活动、回滚到上个批准状态、恢复服务 | 触发条件、值班人、恢复审批、保留证据 | 暂停可自动，恢复应更谨慎 |
这五层不是成熟度排行榜。一个智能体可以获得“自动暂停”权限，却没有“自动加预算”权限；也可以自动生成 20 个活动草稿，但必须由人选择其中 3 个上线。权限应该跟动作的不可逆程度走，而不是跟工具的宣传名称走。
一页式广告智能体章程，要比投放 brief 多写九件事
传统 brief 会写受众、目标、市场、时间和 KPI。对能写入广告账户的智能体，这还不够。每次连接前，至少把以下九项压缩成一页并由品牌、代理商与技术方共同确认：
- 账户与市场： 智能体可以读取和写入哪些账户、国家、店铺与广告目标。
- 允许动作： 创建草稿、启动、暂停、改竞价、移预算、扩版位和替换素材分别是否允许。
- 花费限额： 单次、单日、活动期与全账户上限；超过哪一级必须升级审批。
- 字段白名单： 哪些字段可以自动改，哪些必须锁定，例如落地页、像素、归因窗口和品牌安全设置。
- 创意与主张： 可使用的获批素材池、授权期限、禁用词、受监管表述与需人工复核的生成内容。
- 数据条件： 优化可依赖哪些转化、利润、库存和退货信号；数据延迟或断流时怎样降级。
- 审批责任： 谁批准第一次上线、预算增加、新市场、新受众、新素材与恢复投放。
- 日志要求： 每个动作记录时间、发起者、输入、前后值、理由、审批人和关联版本。
- 停止与回滚： 触发暂停的阈值、可回滚状态、响应时限、事故责任人与恢复条件。
如果一家公司无法在一页里写清这九项，说明它还没有准备好开放执行权。此时最稳妥的做法，是让智能体把建议和草稿交给人，而不是让它先上线再解释。
什么时候只用副驾驶，什么时候可让它受限执行？
保持“副驾驶模式”的情况
新品首次进入市场、监管或功效主张复杂、售价与库存经常变化、转化信号量太小、跨团队责任尚未确定，或创意授权没有统一记录时，智能体应停在读取、建议和草拟层。它可以加速研究、搭建和检查，却不应自动增加花费或扩展市场。
尤其是生成式创意：如果系统只能看见商品页，却看不见演员授权、音乐地区限制、创作者 Spark Ads 授权期或品牌禁用主张，就不能因为素材“生成成功”而判断它“可投放”。素材能否安全进入账户，仍需要一套来源、权利和批准记录。可继续参考 ONCE 的AI 广告素材护照。
开放“受限执行”的情况
成熟 SKU、稳定落地页、可靠转化事件、明确利润或库存信号、足够频率的重复活动、命名与追踪规范已经固定，并且品牌能做到实时限额、动作日志、自动暂停和人工恢复时，才值得给智能体执行权。
先从低不可逆动作开始：建立未启用草稿、按批准模板补齐字段、发现异常后暂停。再逐步开放有限调价、预算迁移和素材替换。第一次上线、新国家、重大预算增加、核心主张变化和暂停后的恢复，仍保留人工门槛。
这也解释了为什么激活就绪的素材交付会成为前提：智能体只有在拿到清楚的版本、渠道映射、追踪标识和权利状态后，才可能安全地自动执行；否则它只是更快地放大交付混乱。
不要只算节省了多少工时，要算每个可审计决策的成本
比较人工投放、副驾驶和受限执行三种方案时，建议使用“每个可审计决策的完全成本”：
可审计决策成本 =（平台与模型费＋集成维护＋人工审批＋日志审计＋返工回滚＋预期事故处置）÷ 可完整还原的有效决策数
“有效决策”不是一次 API 调用，也不是一句提示词，而是一个已经产生明确结果的业务动作，例如：在限额内移动预算、暂停异常活动、替换一条到期素材，或拒绝一个不符合章程的建议。它必须能回答谁发起、依据什么、改了什么、谁批准、结果如何。
这个分母会揭示两个容易被“节省时间”掩盖的问题：第一，智能体可能减少搭建工时，却增加复核、解释和事故处理；第二，无法还原原因的自动优化即使短期表现不错，也不能沉淀成品牌的可复用决策资产。关于如何避免把平台相关性误写成因果规律，可参考 ONCE 的赢因判断方法。
先让智能体证明它会守规矩，再让它证明会优化
首轮测试不要以 ROAS 提升为唯一验收。选一个预算有限、产品稳定、权利清楚的活动，先让系统在沙盒或未启用草稿中运行，再检查四件事：是否只读取允许的数据，是否只修改白名单字段，是否在审批点停下，是否能从日志完整还原每次动作。通过后，再开放小额真实花费与自动暂停；恢复、扩市场和大幅加预算继续留给人。
NIST 的 AI 风险管理框架强调定义、评估并记录人工监督，也建议保留历史、审计日志、人工推翻记录与明确的 go/no-go 责任。它不是广告平台规则，却给出了一个适合跨平台采购的底线：人的存在不能只是签字；人必须拥有看得见、叫得停、退得回的权力。
广告智能体真正改变的，不是谁会更快点完后台，而是谁有权让一个建议变成花费。品牌应先把这项权力写清楚，再把速度交给机器。
资料核验：2026-10-10 读取 TikTok Newsroom 2026-10-05 公告、Amazon Ads 2026-09-29 DVA+ 发布说明、IAB Tech Lab 2026-09-22 AAMP 3.0 与 Buyer Agent 文档、NIST AI RMF，以及 Digiday 2026-09-04 对代理商审计做法的报道。平台公告仅证明各自产品范围与计划；五层权限栈、章程与成本口径为 ONCE 分析，不代表行业已普遍采用。
