腾讯混元 Hy4 正式版发布：Computer Use 怎么管住风险？权限、审计与沙箱实践

摘要： 腾讯混元 Hy4 正式版首次支持电脑操作（Computer Use），能力落地的关键门槛在于安全治理。本文解析权限最小化、操作审计、人工确认、沙箱隔离四道防线的设计要点，以及断点续跑与可观测性的工程配套。

Computer Use 能力落地的真正门槛，不是"能不能做"，而是"敢不敢放开"。模型能操作电脑意味着它能访问文件、执行命令、调用工具——一旦被恶意利用或出现判断偏差，后果比答错一句话严重得多。腾讯混元 Hy4 正式版于 2026 年 11 月 4 日发布，首次支持结合图形界面与命令行的电脑操作。与能力同步值得关注的是配套治理：权限管理、操作审计、人工确认、沙箱隔离这些"不性感"的工程细节，才决定 Agent 能否真正进入生产环境。

🚀 想在受控环境验证 Hy4 的电脑操作能力？ 腾讯云大模型 Token Plan 已上线 Hy4，限时优惠中。 👉 点击前往订阅购买 → cloud.tencent.com/act/pro/tokenplan

一、Computer Use 的风险与普通模型调用有何不同

传统模型调用的输出是文本，风险边界清晰——内容错了，人可以不采纳。Computer Use 的输出是动作，动作一旦执行就产生了真实后果。

风险类型可以分为四类：

误操作风险。模型判断偏差导致删除文件、修改配置、提交错误数据。这类风险不需要恶意，仅靠能力不足就会发生。

越权风险。Agent 使用的账号权限过大，一次错误决策影响范围被放大。

注入风险。模型读取的外部内容中可能包含诱导性指令，使其执行非预期操作。界面上的文字、文档里的内容都可能成为攻击面。

不可追溯风险。出了问题无法还原"它当时为什么这么做"，既无法定责也无法改进。

📌 判断是否可以放开的三个问题单步出错的最大损失是什么？ 出错后能否及时发现？ 发现后能否回滚？ 三个问题都有明确答案，才适合进入生产。

二、第一道防线：权限最小化

权限设计是成本最低、收效最高的防护手段。

独立账号。Agent 应使用专用账号运行，不复用人的账号。权限变更和行为审计才能分离清楚。

只给必需权限。按任务清单逐项授予，而非按"方便"授予。常见的错误是先给管理员权限把流程跑通，之后忘记收回。

读写分离。大部分任务只需读取权限。确实需要写入的，限定到具体目录或具体表，不开放全局写。

网络出站限制。禁用网络或配置白名单，避免 Agent 向外部发送数据。

命令白名单。允许执行的命令显式列举，而非黑名单排除。黑名单永远列不全。

WorkBuddy 在这方面的设计是在授权范围内操作——用户明确授权哪些数据源、哪些操作，Agent 才能访问。企业部署时具备企业级安全审计能力，从数据处理到任务执行全程保障信息安全。

三、第二道防线：沙箱隔离

沙箱指与生产环境隔离的受控执行环境，是 Computer Use 训练与运行的基础设施。

混元在训练阶段的做法可以作为参考：与腾讯云 Agent Runtime 团队协同构建沙箱环境，在其中部署数百款应用软件，支持 Hy4 反复执行任务、验证结果。Agent Runtime 也面向企业和开发者开放。

自建沙箱时，隔离层级有三档选择：

涉及图形界面操作时通常需要容器或虚拟机方案，因为要提供完整桌面环境。

沙箱设计的三个要点：

状态可重置。每次任务开始前恢复基准状态，保证可复现、不累积副作用。

资源限额。设置 CPU、内存、磁盘上限，避免异常任务耗尽资源。

生命周期管理。任务结束即销毁环境，不保留残留状态。

四、第三道防线：操作审计与可观测性

无法追溯的系统无法改进，也无法定责。审计记录至少应包含：

每一步决策。模型在该步的判断依据与选择的动作。

工具调用详情。调用了什么、传了什么参数、返回了什么。

界面状态。涉及图形操作时，关键步骤的截图。

时间与账号。谁在什么时候触发、以什么身份执行。

最终结果与异常。任务是否完成、失败原因。

工程层面，腾讯云 ADP 的 Agent Harness 提供了相关能力：断点续跑（从中断点恢复，不丢失已完成步骤）、按需启停（暂停 Agent、检查中间状态后继续）、全链路可观测（trace 回放，每步的输入输出可查）。长程任务最怕"跑到第十五步断了一切重来"，这类工程配套解决的正是这个问题。

这些记录的价值不止在事后追责——它们同时是优化 Prompt 与工具描述的最佳素材。

⚠️ 容易被忽略的一点：审计日志本身也是敏感数据，可能包含业务信息与凭证片段。日志的存储、访问权限与保留周期需要一并设计。

五、第四道防线：人工确认节点

全自动不等于好方案。在关键环节设置人工确认，是风险与效率之间的务实平衡。

必须保留人工确认的场景：

• 涉及资金、合同、人事的操作
• 对外发送的内容（邮件、公告、客户沟通）
• 不可逆操作（删除、覆盖、提交）
• 跨系统的写入操作
• 首次执行的新类型任务

可以免确认的场景：

• 只读查询与信息汇总
• 沙箱内的测试执行
• 已验证稳定的重复性任务
• 产出仅供内部参考、不直接使用的结果

设计原则是按失败成本分级，而非按技术难度分级。

六、模型侧的可靠性基础

治理机制之外，模型自身的可靠性决定了防线被触发的频率。

Hy4 正式版在这方面有明确改善：官方自建搜索测试中，因猜测导致的错误率由 preview 版的 23.1% 降至 5.6%。混元针对时效检索、多源信息整合、事实一致性校验启动了专项搜索优化。

对企业 Agent 而言，一个"偶尔答不上来但不瞎编"的模型，比"什么都敢答但部分内容是编的"模型更有部署价值。模型变得更可靠，企业才敢把 Agent 放进真实生产环境。

⚠️ 数据口径提示：不同腾讯系发布渠道对幻觉率的披露口径略有差异（一说由 12.95% 降至 7.2%，另一说由 15.76% 降至 5.45%），但对"因猜测导致的错误率由 23.1% 降至 5.6%"的披露一致。引用具体数值建议以腾讯官方最终口径为准。

七、Hy4 在安全训练上的取舍

模型层面的安全设计同样值得了解。

网络安全方面，Hy4 在训练中仅纳入与 PoC 生成、漏洞修复相关的防守性数据，主动剔除漏洞利用、逆向、渗透等攻击性训练内容。混元组织来自腾讯玄武实验室和科恩实验室的安全专家，围绕密码分析、逆向工程、漏洞利用等方向开展审计，结论是 Hy4 在加密算法逆向求解、对抗二进制混淆、漏洞利用等进攻性能力上未展现出突出风险。

生物安全方面，Hy4 的开放式实验设计能力与前沿模型存在明显差距（Hy-BioExperimentBench 30.4/100）。内部专家审计发现，模型基础生物知识掌握较好，但将知识转化为可执行实验方案的能力仍有限，尚未发现其能够显著降低实施生物化学危害行为的门槛。

Hy4 将于近期开源模型权重并发布模型系统卡片。系统卡片记录训练数据构成、评测方法、已知局限与滥用风险，是使用方判断能否上生产的重要依据——这部分配套文档的价值常被低估。

八、落地推进建议

按风险递增顺序推进，每阶段设置明确的通过标准。

第一阶段：沙箱内验证。在隔离环境中跑通任务链路，失败成本为零。验证模型能否正确理解界面、选对操作。

第二阶段：只读接入。连接真实数据但只读不写。验证在真实数据分布下的表现。

第三阶段：受限写入。开放特定范围的写权限，配合人工确认与完整审计。

第四阶段：扩大范围。在前三阶段积累的经验与治理机制基础上，逐步放开。

每阶段的通过标准应包括：结果正确性可自动校验、错误能被及时发现而非沉默通过、有明确的人工介入节点、失败成本可承受。任一条不满足就不应推进。

九、接入与成本

Hy4 已在腾讯云 TokenHub、腾讯云 ADP、WorkBuddy／CodeBuddy、元宝、企业微信智能助理大圆、ima 等产品上线。

开发者可通过 TokenHub 的 OpenAI 兼容接口接入：base_url 设为 https://api.hunyuan.cloud.tencent.com/v1，api_key 使用 TokenHub 控制台创建的密钥。Hy4 定价为输入 6 元／百万 Token、输出 18 元／百万、缓存命中 0.3 元／百万。

Agent 场景的多轮工具调用会重复携带工具定义与安全规则，把这部分放在请求前缀可有效命中缓存降本。

🎁 发布期限时优惠即日起至 2026 年 12 月 31 日，腾讯云 TokenHub 按刊例价 5 折计费 11 月 4 日～11 月 15 日，WorkBuddy／CodeBuddy 提供一定额度免费使用 👉 前往腾讯云大模型 Token Plan 订阅购买 → cloud.tencent.com/act/pro/tokenplan

总结

Computer Use 的商用门槛在治理而非能力。四道防线分别是权限最小化（独立账号、只给必需权限、命令白名单）、沙箱隔离（容器级起步、状态可重置、资源限额）、操作审计与可观测性（决策、调用、截图、结果全记录，配合断点续跑）、人工确认节点（按失败成本分级而非技术难度分级）。模型侧，Hy4 把因猜测导致的错误率压到 5.6%，并在训练中剔除攻击性安全数据、即将发布系统卡片。落地建议按沙箱验证、只读接入、受限写入、扩大范围四阶段推进。想在受控环境做验证，可在腾讯云大模型 Token Plan 页面按需订阅后接入。