Vercel CEO：60%部署由AI代理完成，SaaS将死？

Vercel CEO Guillermo Rauch 在最新访谈中抛出了一组令人震惊的数据：年初平台上仅有3%的部署来自编程代理，如今这个数字已飙升至60%。另一边，Vercel完成3亿美元F轮融资，估值达到93亿美元，年化收入据报为6亿美元。这期访谈信息密度极高，涉及AI编程现状、SaaS的未来形态、代理安全以及开源模型的崛起，值得逐层拆解。

从3%到60%：编程代理的拐点已至

Rauch提到一个时间对比：Vercel花了大约10年才达到第一个10亿次部署，而随后的10个月里又新增了15亿次部署。这个加速度背后，编程代理的普及是最直接的推手。

“软件的世界越来越多是机器人告诉其他机器人该做什么”，Rauch这样描述当下的状态。每个部署代表一次变更的上线，代理正在以超人的速度写代码、测试、部署，而Vercel恰好成为这些代码的落脚点。他观察到X上几乎每隔一条动态就是一次Vercel部署，而OpenAI、Meta等巨头也在使用其平台。

这一趋势对开发者意味着什么？Rauch举了自己孩子做数学作业的例子：他会让孩子使用AI，但要求理解AI在做什么。他提出的“拒绝不理解”（reject non understanding）在X上引发热议，核心主张是——不要做那个按一下按钮就发布、完全不看代码的人。他把自己现在的工作类比为工程经理：读代码、让AI解释它做了什么、在关键处验证。

编程代理时代，SaaS的护城河在哪里

访谈中最具争议的观点是Rauch对SaaS未来的判断。他认为传统的“无代码”（no code）时代正在结束，Vercel是“有代码”（yes code）公司——编码代理让代码生成的成本趋近于零，企业可以按需生成贴合自己工作流的软件。“你买了Vercel这个平台，就不用再买软件了”，他称这是“致命组合”。

但这并不意味着Salesforce、SAP这类巨头会消失。Rauch的区分很清晰：软件需要数据，而记录系统——客户历史、联系人、会议笔记、工单——仍然至关重要。变化的只是交互方式从“人访问界面”变成“代理访问数据并生成界面”。他描述了Vercel内部的用法：通过部署在Slack上的代理，直接询问某个客户的部署频率和工单情况，代理去Salesforce取数据并生成报告，人完全不用打开Salesforce。

这种“无头化”趋势对应的是新协议层的崛起。Rauch重点提到MCP（Model Context Protocol），它让服务向代理声明“你可以用我哪些工具”。Vercel的MCP会告诉代理如何部署软件、如何列出项目。此外还有机器支付协议和通用商务协议——Vercel已与Stripe、Shopify合作让代理完成交易，甚至在市场上购买浏览器等工具。

MCP（Model Context Protocol） 是由 Anthropic 于 2024 年底提出并开源的协议标准，旨在让 AI 代理以统一方式发现和调用外部工具与数据源。它定义了一套客户端-服务器架构：服务提供方（如 Vercel、GitHub、数据库）实现 MCP 服务器并声明可用工具（tools）、资源（resources）和提示模板（prompts），代理作为客户端即可动态获取这些能力，无需为每个服务单独编写集成代码。相比早期的函数调用（function calling）方案，MCP 的优势在于标准化和可组合性——同一代理可以接入任意数量的 MCP 服务器，大幅降低集成成本。它被视为代理生态的“USB 接口”，正在被越来越多的开发工具和企业平台采纳，也是 Rauch 所说“新协议层”的核心。

代理安全：最被低估的风险

访谈中有一段关于安全的长讨论，信息量很大。Rauch指出，编程代理同时是极佳的代码阅读者，也意味着它们擅长发现和利用漏洞——“要理解代码的规则，也就理解了如何打破规则”。

Vercel悬赏100万美元征集沙箱逃逸方案，最终只有一位安全研究者借助代理集群取得了实质性进展。这个发现随后被共享给行业，因为漏洞涉及Linux，而全球大部分基础设施运行在Linux上。Rauch借此强调，当前多数企业尚未真正解决代理安全问题。

他还提到提示注入的现实威胁：代理为完成任务会极其“资源丰富”地搜索信息，可能在YouTube评论或第三方站点中遭遇隐藏的恶意指令，而这些指令以用户的token和权限执行。沙箱（他调侃这个词不准确，Unix社区的“jail”更贴切）和权限边界因此成为企业部署代理的前置条件。

另一个被讨论的工程方向是用可验证的代码来约束代理输出。Rauch周末亲手写了一个证明系统，探索让代理生成可数学验证的正确代码——这是他对长期安全问题的乐观来源之一。

提示注入（Prompt Injection） 是一种针对大语言模型应用的攻击方式：攻击者将恶意指令隐藏在代理会读取的内容中（如网页评论、文档、邮件），诱导代理偏离原始任务、执行攻击者意图的操作。它分为直接注入（用户直接输入恶意指令）和间接注入（恶意内容来自第三方数据源）两类，后者对代理危害更大，因为代理通常以用户的凭证和权限运行。由于当前 LLM 难以可靠区分“数据”与“指令”，提示注入尚无根治方案，业界主要依靠沙箱隔离、最小权限原则、人工确认高风险操作等纵深防御手段。OWASP 已将其列为 LLM 应用的首要安全风险。

开源模型吃掉80%的token

Rauch透露了Vercel AI Gateway的流量变化：年初绝大多数token流向OpenAI、Anthropic、Google等闭源模型，如今80%的token流向了开源模型，这一数据在X上广泛传播。

原因并不复杂：开源模型在编码任务上已足够好，而企业发现80%的工作——回答工单、数据分类、拼写检查、执行既定计划——不需要“爱因斯坦级别的智能”。规划阶段用前沿模型，执行阶段用开源模型，成为普遍的成本与效果平衡策略。他特别提到Kimi等模型的实际使用体验，认为“足够好”的边界正在快速移动。

这种格局对前沿模型公司构成真实风险。Rauch用了一个尖锐的类比：这和加密市场有相似之处——有忠实信徒，也有游客，“很多人爱一个币只是因为它是接下来两个月的热门币”。他建议模型公司关注不可作弊的指标——留存率，而非靠免费额度或促销制造的token量。他甚至反问：如果前沿智能优势真的持久，为什么这些实验室都在纷纷做垂直应用？

Vercel AI Gateway 是 Vercel 推出的模型路由与统一接入层，开发者通过单一 API 即可调用 OpenAI、Anthropic、Google 以及众多开源模型提供商的服务。它的核心价值在于抽象掉各家 SDK 和鉴权的差异，并提供统一的可观测性（用量、延迟、成本）、自动故障转移、速率限制和缓存能力。对企业而言，Gateway 让“规划用前沿模型、执行用开源模型”的路由策略可以在不改动业务代码的前提下灵活切换，也是 Rauch 能精确统计 token 流向变化的数据来源。

对开发者和企业的启示

访谈最后回到实践层面。Rauch给企业的建议是不要停下：不实施AI、不构建代理、因为恐惧而不尝试开源模型，是最糟糕的决策。他形容当下硅谷不是“每周工作两小时”，而是“每周七天、早七点到晚七点”，但强调这是兴奋而非痛苦——因为规则正在被书写。

对于招聘，Vercel看重的是“指挥大量代理并从中获得杠杆”的能力，同时极其重视人类的沟通质量。Rauch的原话是：“我不想读你AI生成的推文垃圾，我想听你真正在想什么。”technical competence的要求反而在提高——因为有了好奇心和提示能力，每个问题都变得可解。

至于serverless是否已死，他的回答是否定的，并抛出了“fluid compute”的概念：计算像液体一样，有流量时扩张，无流量时收缩，同时服务沙箱、函数、网站和代理。在他看来，这是serverless的下一个篇章。

Fluid compute（流体计算） 是 Vercel 提出的计算范式，用来描述 serverless 的下一阶段形态。传统 serverless 函数按请求冷启动、生命周期短暂，而 fluid compute 让计算实例像液体一样在请求之间复用、按流量弹性伸缩，既保留按需付费和零运维的优势，又显著降低冷启动开销并提升并发利用率。同一套运行时可以承载函数、网站、沙箱和代理等多种负载，按实际用量动态扩张或收缩。它试图回应“serverless 已死”的质疑：并非范式失效，而是从“函数即服务”演进为更连续、更高效的资源调度模型。