← 返回博客
Founder ColumnFounder ColumnGEOGEOAI VisibilityAI VisibilityPaid MediaPaid Media
在 AI 搜索语境里，最大的风险是 AI 回答错误——把品牌描述不准确，引用过时信息，推荐竞争对手。这些是声誉风险，虽然值得重视，但造成的损失通常是间接的、渐进的。
在 agentic advertising 语境里，风险级别升了一档。当 AI agent 能读取和修改广告账户时，错误不再停留在回答里，而会直接变成预算、素材、定向和品牌风险。一个理解偏差可能在几秒钟内影响多个 campaign，造成真金白银的损失。
这种风险升级不是假设——它已经内嵌在 Meta Ads MCP 的产品设计中。MCP 开放了约 29 个工具，覆盖 campaign 管理、audience 配置、budget 调整和报告读取。每一个工具都是一个潜在的操作入口。没有 governance 框架，agent 可能会做出正确但不合适的决策，也可能做出完全错误的决策。
品牌接入 agentic ads 后面临的风险可以分为五类：
第一类是预算风险。Agent 误读投放目标，把高预算分配给低效市场或低质受众。例如，agent 根据短期 CPM 变化判断某个 ad set 表现良好，大幅增加预算，但实际上这个 ad set 的 ROAS 持续下降。如果没有预算阈值和 escalation 机制，这种误判可能在一天内浪费大量投放费用。
第二类是素材风险。Agent 使用或建议不符合品牌规范、法律要求或市场敏感度的创意。比如在韩国市场投放包含夸大功效声称的素材，违反韩国《标示广告法》；或者在阿拉伯市场投放不符合当地文化敏感度的视觉内容。
第三类是定向风险。Agent 选择的受众组合引发品牌安全问题，或定向到品牌没有实际服务覆盖的地区。一个面向北美市场的 SaaS 品牌，如果 agent 把广告定向到品牌无法交付服务的地区，即使获得了点击和 leads，也只会产生负面体验。
第四类是品牌风险。Agent 在广告文案或素材中做出品牌未授权的承诺或 claims。例如，agent 根据竞品对比数据在广告中声称"业界最低价"或"100% 成功率"，但品牌从未授权过这些说法。
第五类是数据风险。Agent 读取或传输的数据超出合规边界。MCP 工具调用过程中，广告账户数据、受众数据、转化数据会被传送到 LLM 的上下文窗口。如果这些数据包含 PII 或受 GDPR / PIPL / CCPA 保护的信息，可能引发合规问题。
很多人把 MCP 接入看成效率工具——接上 agent，自动投广告，省人力。这是一个危险的简化。
正确的思路是：MCP 接入是一个 governance 设计问题。在接入 agent 之前，企业需要回答六个核心治理问题：
第一，权限分级。Agent 可以读取什么、建议什么、修改什么、不能碰什么？不同级别的 agent 用户有不同的权限边界。一个只负责报告诊断的 agent 不应该有修改 budget 的权限。一个负责受众优化的 agent 不应该能修改品牌级的命名规范。
第二，human-in-the-loop 设计。哪些操作必须经过人工审批？审批的 SLA 是什么？如果人工不在线，agent 应该暂停操作还是用预定义规则继续？这不是一个二选一的问题——不同操作类型应该有不同的 HITL 策略。
第三，预算阈值。单次预算变更的上限是什么？累计变更的上限是什么？超过阈值时如何触发 escalation？这些阈值不是一成不变的，应该根据 campaign 阶段、市场和历史表现动态调整。
第四，操作日志。每一个 agent 操作必须有完整日志——prompt 内容、tool 调用名称和参数、返回结果、时间戳、操作者身份。日志必须不可篡改且可追溯。这不只是合规要求，也是优化 agent 表现的数据基础。
第五，回滚机制。如果 agent 执行了错误操作，如何快速回滚？回滚是自动的还是需要人工触发？哪些操作可以回滚（budget change）、哪些不可逆（已发布的 ad）？企业需要在接入前就定义回滚优先级和时间窗口。
第六，prompt 数据边界。Agent 的 prompt 中可以包含什么数据？不能包含什么数据？如何防止敏感数据（如客户 PII、内部定价、竞品策略）通过 prompt 泄露到第三方 LLM？
广告 MCP 应先从只读和建议模式开始，再逐步开放低风险写操作。这不是保守，而是最优路径：
Phase 1 是只读阶段。Agent 读取账户数据、生成报告、诊断异常、检查命名规范。没有任何写操作。这个阶段的目标是验证 agent 对你的广告账户、品牌事实和业务逻辑的理解是否准确。
Phase 2 是建议模式。Agent 可以生成预算调整建议、受众优化建议、创意改进建议，但所有建议必须经过人工审批后才执行。这个阶段的价值不是自动化，而是对比 agent 建议和团队判断之间的差异，发现 agent 的理解盲区。
Phase 3 是低风险写操作。Agent 可以执行已审批的低风险操作——如在预批准范围内调整已有 campaign 的 budget、暂停低效 ad set、更新 UTM 参数。每一个写操作仍然有日志和告警。
Phase 4 是 governed 自动化。Agent 在明确的 guardrail 和实时监控下执行更复杂的操作，但仍然有 human-in-the-loop 的 escalation 路径。这不是"完全自动化"，而是"在约束下自动化"。
open beta 阶段的 Meta Ads MCP 在 governance 方面仍不成熟。社区反馈显示多个实际痛点：
首先，Eligibility 要求尚未完全透明。不是所有广告账户都能接入 MCP，资格审查标准在迭代中。其次，OAuth 流程在部分场景下有摩擦——认证失败、token 刷新中断等情况已有报告。第三，写操作的审批链路和回滚能力有限——平台本身提供的 governance 工具不足以覆盖企业级需求。第四，工具可用性可能随版本更新而变化，企业需要为 API breaking changes 做准备。
这些不是否定 MCP 价值的理由，而是强调一个关键判断：企业需要在平台 governance 成熟之前，自建一套操作治理框架。等平台完善再开始，意味着你会落后于已经建立了 governance 能力的竞争对手。
Gravity 把 agentic ads governance 视为增长基础设施的一部分，而不是合规附件。我们的观点是：品牌证据层、操作治理框架和监测体系必须先于自动化建设。
具体来说，Gravity 帮助客户在接入 agent 之前完成三层准备：第一层是品牌证据层完整度审计——确保 agent 读到的品牌事实准确、一致、可引用。第二层是操作规则定义——权限矩阵、审批流程、预算阈值、escalation 路径。第三层是监测体系部署——CitationGraph 监测品牌在 AI 回答中的表现、操作日志审计、决策质量评估。
对中国出海企业来说，governance 还涉及跨境数据合规这一特殊挑战。GDPR 管欧洲、CCPA 管加州、PIPL 管中国数据出境——不同市场的隐私要求叠加，agent 操作中传输的广告数据需要在所有适用法规的交集内。
此外，不同市场的广告法规差异也需要纳入 governance：韩国的《标示广告法》、日本的《景品表示法》、德国的 UWG、巴西的 Código de Defesa do Consumidor 对广告内容的约束各不相同。一个全球化的 agent 操作框架必须把这些法规差异写入操作规则。
需要诚实面对几个限制。第一，MCP 的工具能力和权限边界还在迭代，今天可用的操作明天可能改变。第二，agent 的判断质量取决于它获得的上下文——如果品牌证据层不完整，governance 框架再好也无法防止基于错误信息的决策。第三，governance 本身有成本——审批流程、日志审计、权限管理都需要人力和系统投入。企业需要在速度和安全之间找到适合自己阶段的平衡。
A: 风险从"AI 回答错了"升级为"AI 执行动作错了"。错误会变成预算、素材、定向和品牌的真实损失。
A: 权限分级、human-in-the-loop 审批、预算阈值、操作日志、回滚机制和 prompt 数据边界。
A: 先只读和建议模式，验证 agent 对品牌和业务逻辑的理解后，再逐步开放低风险写操作。
A: open beta 阶段仍不成熟，企业需要自建操作治理框架，不能等平台完善。
A: Governance 是 agentic advertising 的核心能力，不是附加功能。品牌证据层 + 操作治理 + 监测体系需要先于自动化建设。