一、引子：从概念到产品只用了三个月
2026 年 6 月，Addy Osmani、Bill Cherny（Anthropic）和 Steinberger 等人系统性地定义了 loop engineering 的概念框架。他们把 AI agent 的工程实践拆成六块构建块：Automations、Worktrees、Skills、Connectors、Sub-agents、Memory。那时这些概念还活在 Twitter 长帖和技术博客里。
到 2026 年 7 月中旬，六块构建块的每一块都已经长出独立产品和公司。Coding agent 层有 Claude Code、Codex、Cursor。Connectors 层有 MCP 协议变成事实标准。Sub-agents 和 Memory 正在被 Claude Cowork 和 ChatGPT Work 吸收为企业级能力。Agent Gateway 作为一个新品类，被 Forbes 正式命名。
loop engineering 的概念从技术博客讨论变成市场共识，只用了大约 90 天。但相关产品的积累远早于概念定型——Claude Code 2025 年 2 月发布，MCP 协议 2025 年底提出，Cursor 2023 年上线。2026 年 7 月发生的是：这些散落的产品和概念突然结晶成清晰的产品品类地图。这个速度在云计算、移动应用或 SaaS 的早期阶段都没有出现过。
核心问题由此浮现：这个新市场最终会水平分层，像云计算的 IaaS/PaaS/SaaS 那样各层独立？还是会垂直整合，由大厂全栈通吃？这篇文章试图用 2026 年 7 月的公开信息画出市场地图，并给出判断。
二、市场地图：五层正在产品化
1. 模型层 — 性能趋同，价格分化
2026 年 7 月，模型市场的核心叙事不再是"谁更聪明"，而是"谁更便宜"。
OpenAI 在 7 月 9 日发布 GPT-5.6 系列，分为 Sol、Terra、Luna 三档。Sol 是面向 agentic coding 的主力型号，Sam Altman 在 CNBC 采访中称，Sol 在 coding agent 场景下的 token 效率比前代提升 54%。这意味着同样的任务，Sol 消耗的 token 更少，长任务的累积成本差距拉大。
Forbes 在 7 月 10 日的评测中给出一个直观数字：Sol 的定价比 Fable 5（Google）便宜约三分之一。如果你是重度 coding 用户，这个差距在月度账单上会非常明显。
中国模型厂商的价格优势更极端。CNBC 在 7 月 7 日的报道中引用 OpenRouter 数据称，DeepSeek、Qwen 等中国模型在美国企业市场的 token 售价平均比美国模型低 60%-90%。这不是实验室数据。OpenRouter 是美国开发者实际使用的路由平台。
更值得注意的是市场份额变化。OpenRouter 数据显示，中国模型已经占到美国企业 token 用量的 30%-46%（互联网行业偏高端，传统行业偏低端）。这是一个区间，因为不同行业差异很大，互联网公司更倾向于混合使用。但即使取下限 30%，也意味着每三个 token 里就有一个跑在中国模型上。
性能趋同、价格分化，结果是模型层正在快速商品化。品牌溢价还会存在（GPT 和 Claude 在企业采购中有信任溢价），但纯能力差距已经不足以支撑 5-10 倍的价格差。
2. 编码 Agent 层 — 从工具变平台
编码 agent 是 loop engineering 里最热的一层。
Claude Code 是 Anthropic 的旗舰产品，直接嵌入终端和 IDE。OpenAI 的 Codex 已经整合进 ChatGPT 桌面 app。Cursor 从独立的 AI IDE 起家，正在往 agent platform 方向演进。Perplexity 在 7 月 7 日被 Business Insider 独家报道正在内部开发 Teammate，一个 model-agnostic 的编码 agent，从 5 月起已经在 Perplexity 内部使用。
Figma 的动向更值得注意。TechCrunch 在 7 月 7 日报道，Figma 收购了 Bud，一个从 vibe coding 起步、转向 agent platform 的创业公司。Figma 的意图很明确：把 agent 能力内嵌到设计工具里，让设计师直接生成可部署的产品原型，而不只是 Figma 文件。
这几件事放在一起，指向一个趋势：编码 agent 正在从"辅助工具"变成"平台入口"。当你每天在 Cursor 或 Claude Code 里花 6 小时写代码，这个 agent 就成了你的工作环境，它决定了你用哪个模型、访问哪些数据、遵循什么流程。平台属性一旦确立，切换成本就上来了。
Perplexity Teammate 的 model-agnostic 策略值得关注。如果编码 agent 不绑定单一模型，用户可以按任务选择最优模型（便宜任务用 DeepSeek，复杂任务用 Claude），那么模型层的定价权会被进一步削弱。反过来，这也意味着编码 agent 层本身的竞争更激烈：没有模型绑定做护城河。
3. 企业 Agent 层 — Claude-ification 全面展开
Forbes / Moor Insights 在 7 月 8 日发了一篇文章，标题里的核心概念是 "Claude-ification"，所有大厂都在抄 Claude Cowork 的产品形态。
Claude Cowork 在 7 月 7 日完成了一次重要升级。TechCrunch 报道，Cowork 扩展到 web 和 mobile 端，cloud 端持续运行，chat 界面与 Cowork 界面合并。这意味着 Claude 不再是"你问一次它答一次"的对话工具，而是一个在云端持续运行、有持久状态的 agent 实例。你可以给它一个长期任务，它在后台执行，你随时回来查看进展。
ChatGPT Work 在 7 月 9 日发布（Reuters 和 Forbes 同日报道）。由 GPT-5.6 驱动，能跨 Slack、Google Drive、Microsoft 365 工作。形态上跟 Claude Cowork 高度相似：持续运行的 cloud agent，跨系统集成，chat 是交互入口。
Forbes 评测指出，Microsoft 的 Copilot Cowork 和 Amazon 的企业 agent 产品虽然形态类似，但体验差距明显。这跟底层模型能力有关：GPT-5.6 和 Claude 在 agentic 场景下的规划能力领先，Copilot 背后的模型在复杂多步任务上还不稳定。
Ars Technica 的评测揭示了一个关键定价细节：ChatGPT Work 使用跟 Codex 同款的 credit 计费。这意味着一个长任务可能消耗大量 credit，一次大型代码审查或数据处理可能"用掉你套餐的大部分额度"。这会直接影响企业采购决策。月费知道上限，credit 计费不知道。企业财务部门不喜欢不知道上限的东西。
企业 agent 的角色正在变化。它不再是一个独立产品，而是平台入口，用户通过 agent 访问所有工具和数据。这跟 2010 年代的搜索框类似：搜索引擎看起来是一个功能，实际上是整个互联网的入口。
4. Agent Gateway 层 — 一个新品类的诞生
Forbes 在 2026 年 7 月 5 日发表文章，正式将"Agent Gateway"命名为一个新品类。这不是概念炒作，至少三家产品已经进入 GA 或 marketplace：
- Nutanix Agent Gateway：在 Enterprise AI 2.7 中 GA，5 月底开始交付。Nutanix 的客户群是企业 IT 部门，所以这个 gateway 的设计假设是"企业已有复杂权限体系"。
- Arcade：授权和工具执行 runtime，7 月 3 日上线 Azure 和 AWS marketplace。核心价值是把 agent 调用外部工具时的权限管理和执行沙箱标准化。
- Manufact：7 月 2 日开放 MCP hosting cloud。定位是"MCP 协议的托管层"，你不需要自己跑 MCP server，Manufact 帮你跑，还帮你管安全和审计。
为什么 agent 流量需要独立网关？因为 agent 的调用模式和传统 API 完全不同。
传统 API Gateway 管三件事：认证（你是谁）、限流（你每秒发多少请求）、路由（请求发到哪）。这套体系假设调用方是人类触发的应用，人点击按钮，应用发请求，频率可预测。
Agent 不一样。Agent 会自主决定调用什么工具、调用多少次、传什么参数。一个 coding agent 在审查代码时可能连续调用 50 次 MCP tool，每次访问不同的文件和 API。人类不会这么做。传统限流策略对这种模式要么过度拦截（把合法的 agent 循环拦掉），要么完全失效（不拦截，token 成本和权限暴露都不可控）。
Agent Gateway 需要多管三层：
- 权限边界：定义每个 agent 在每次循环中能做什么。不是笼统的"这个 agent 有 admin 权限"，而是"这个 agent 在 code review 循环的第 3 步可以读 repo A 但不能写 repo B"。
- 预算控制：限制每次循环的 token 消耗和工具调用次数。防止 agent 进入死循环，烧掉几百美元的 API 费用。
- 审计追踪：记录 agent 每一步决策的证据链。出了问题时能回溯：为什么 agent 决定删掉这个文件？为什么 agent 访问了这个 API？
这三层需求跟 loop engineering 里的 budget gate 和 permission gate 直接对应。Loop engineering 的理论框架在 6 月提出，7 月就有了产品化的 Gateway 层来落地这些概念。
5. 协议层 — MCP 成为事实标准，但安全债在累积
MCP（Model Context Protocol）从 Anthropic 的私有协议变成行业事实标准，大约用了 8 个月。2025 年底，MCP 还只是 Anthropic Claude 生态的内部连接器。到 2026 年 7 月，它已经是几乎所有 AI agent 产品的标准接口。
几个里程碑可以说明 MCP 的渗透速度：
- X（原 Twitter） 在 6 月 30 日上线了官方 MCP server（TechCrunch 报道）。这意味着 AI agent 可以通过标准协议直接读写 X 上的数据（发推、搜索、分析）。社交平台接入 MCP 是一个信号：MCP 不再只是开发者工具。
- Morningstar 在 6 月 25 日的投资者 Q&A 中透露，17% 的 PitchBook 客户已经采用 MCP connector。金融数据行业通常是技术采用较慢的领域，17% 的采用率说明 MCP 已经跨过了早期采用者的门槛。
- 酒店业也在行动。Simple Booking（7000+ 酒店物业）正在接入 MCP，让 AI agent 能直接查询房态、管理预订。传统行业的接入进一步确认了 MCP 的标准化角色。
MCP 2026-07-28 新规范即将生效。SecurityWeek 在 6 月 26 日的分析中指出，新规范的核心变化是"无状态化"，协议层不再维护 session 状态，开发者需要自己管理。这是一个企业级的改动：让 MCP server 更容易扩展和部署（无状态服务可以水平扩容），但把状态管理的复杂度推给了应用层。
SecurityWeek 同时警告：安全责任从协议层推给了开发者。这意味着如果开发者实现不当，MCP 的攻击面会扩大。
这不是理论担忧。Wiz 安全研究团队发现了 Amazon Q MCP 实现中的一个漏洞，CVE-2026-12957（Dark Reading 6 月 29 日报道）。攻击者可以构造一个恶意仓库，当 agent 通过 MCP 访问这个仓库时，会继承开发者的权限，进而窃取 AWS 云凭证。这个漏洞的逻辑很直接：MCP 让 agent 代替开发者执行操作，如果权限边界不清晰，agent 就成了权限提升的管道。
MCP 成为标准是大概率事件。但安全债的累积速度也在加快。协议层标准化跑在了安全实践前面，这在技术上不算意外（TCP/IP 早期也一样），但对企业来说意味着采用 MCP 时必须自己搭安全层。
三、三个关键信号
信号 1：超级 App 之争 — OpenAI 和 Anthropic 走向同一个方向
看 2026 年 7 月的动作，OpenAI 和 Anthropic 在做同一件事：把所有 agent 能力合并到一个桌面超级 App 里。
OpenAI 的路线：
7 月 9 日，TechCrunch 报道 OpenAI 关停了 Atlas 浏览器项目。Atlas 是 OpenAI 独立的浏览器产品，本来想跟 Chrome 竞争。同时关停的还有 Sora 的独立 app。Fidji Simo 在内部会上说了一句关键的话："砍掉 side quests"。
砍掉的产品不是消失了，而是被合并。ChatGPT 桌面 app 正在变成一个三合一的产品：ChatGPT + Codex + Work（9to5Mac 7 月 9 日报道）。聊天、编码、企业任务执行集成在同一个界面里。这跟 Google 在 Android 上把搜索、Assistant、Gemini 合并到 Google app 的逻辑一样。
Anthropic 的路线：
7 月 7 日，NBC News 报道 Claude 的 chat 和 Cowork 已经合并到同一界面。Cowork 上云后持续运行，你不需要在本地保持 Claude Code 开着，cloud agent 会替你跑任务。你打开 Claude 网页版或 mobile app，看到的是聊天窗口，但背后有一个持续运行的企业 agent。
这两家的动作高度趋同。方向都是：用户入口是一个聊天界面，但这个聊天界面背后是企业 agent、编码 agent、浏览器/工具调用能力的综合体。企业 agent 从独立产品变成了桌面超级 App 的一个功能模块。
Google 的位置：
Google 目前还没有明确对标 Claude Cowork 或 ChatGPT Work 的产品。但 9to5Google 在 7 月 8 日报道了 Android Bench 换框架的消息，这个基础设施层面的准备，暗示 Google 在为 Android 上的 agent 能力铺路。Google 有浏览器（Chrome）、有企业入口（Workspace）、有移动 OS（Android），如果要做超级 App，材料是齐的。问题是他们能不能把这些拼起来。
信号 2：Agent Gateway 为什么独立化了
§2.4 已经展示了 Agent Gateway 的产品形态和技术差异。这里要回答的判断性问题是：为什么传统 API Gateway 不能简单扩展覆盖 agent 流量，而需要一个独立品类？
核心判断是治理维度不同。传统 API Gateway 解决"谁调用了什么"，Agent Gateway 需要解决"agent 为什么决定这么做"。TrueFoundry 提出的"standing permissions"概念精准地描述了这个差异：权限不授给 agent（agent 是谁？它只是代码），权限授给 loop 中的特定位置。这种粒度在传统 API Gateway 里根本不存在。
这跟 loop engineering 框架里的 budget gate 直接呼应：budget gate 是理论概念（"每次循环花多少 token、调用多少工具"），Agent Gateway 是它的产品化。独立化的另一驱动力是中立性需求。企业不会信任任何一家模型厂商提供的 Gateway，如果 Gateway 是 OpenAI 的，它怎么能公平对待 Claude 的流量？中立性是第三方厂商的结构性机会。
信号 3：MCP 从开发者工具走向企业标准的转折点
MCP 的采用速度已经够快了：从 Anthropic 内部协议到行业事实标准，只用了约 8 个月（OAuth 花了约 4 年）。但更说明问题的是采用方的多样性：社交平台（X）、金融数据（Morningstar/PitchBook 17% 客户采用）、酒店业（Simple Booking 7000+ 物业）、开发者工具（GitHub、Linear、Notion）都在接入。跨行业、跨场景的采用说明 MCP 解决了一个真实痛点：agent 需要标准方式连接外部工具和数据源。
§2.5 已经分析了 MCP 2026-07-28 新规范的安全风险和 Amazon Q MCP 漏洞。这里补充一个判断性观察：MCP 正处于从开发者工具到企业标准的转折点。转折点的特征是协议标准化跑在安全实践前面（TCP/IP 早期也一样），采用速度跑在治理框架前面。对企业来说，这意味着现在采用 MCP 是必要的（不采用就落后），但必须自己搭安全层，不能等协议层提供安全保障。
四、垂直整合 vs 水平分层：12 个月的关键问题
这是整篇文章最核心的判断部分。2026 年 7 月的市场格局可以归纳为三条路线：
OpenAI 路线：全栈垂直整合
OpenAI 的策略最激进：模型自己做（GPT-5.6）、编码 agent 做自己（Codex）、企业 agent 做自己（ChatGPT Work）、浏览器自己做（原 Atlas）、桌面端自己做（ChatGPT app）。Atlas 关停并入主 app 是最明确的信号，OpenAI 决定不做多个独立产品，而是做一个整合一切的超级 App。
这条路的好处是用户体验一致性：所有功能共用同一个上下文、同一个账号、同一套权限。坏处是 OpenAI 自己承担了所有层的成本和风险。如果模型层被中国厂商的价格战拖住，上层产品的利润空间就会被压缩。
Anthropic 路线：半开放整合
Anthropic 的路线介于 OpenAI 和完全开放之间。模型自己做（Claude），编码 agent 做自己（Claude Code），企业 agent 做自己（Cowork）。但 Connectors 开放给 MCP 生态，不要求所有工具都是 Anthropic 的。Claude Code 支持通过 Bedrock/Vertex 自托管，给了企业部署灵活性。
Anthropic 的优势是 MCP 协议，作为 MCP 的创造者，Anthropic 在协议层有话语权。这跟 Google 之于 Android 类似：你可以用 Android（MCP），但 Google 的 Android（Claude）体验最好。
第三方路线：在缝隙中找定位
Nutanix 做 Agent Gateway、Arcade 做 runtime、Perplexity 做 Teammate、Figma 做 design-to-code，这些公司不试图跟 OpenAI/Anthropic 全栈竞争，而是在特定层找到位置。
Lyzr 的案例值得一提。Bloomberg 和 TechCrunch 在 7 月 9 日报道，Lyzr 用自己的 agent 产品完成了 $1 亿融资。Dogfooding（用自己的产品做自己的业务）变成了营销手段："看，我们的 agent 帮我们管理公司"。这如果属实，说明 agent 确实能干活，不只是 demo。但也可能只是融资叙事。需要看后续产品交付。
我的判断
企业 Agent 层和 Gateway 层大概率会分开。 原因是中立性需求。企业 IT 部门不会接受"我的 agent gateway 是 OpenAI 的，所以它知道我所有的 agent 流量"。中立性是第三方 Gateway 厂商的护城河。
编码 Agent 和企业 Agent 会合并。 Claude Code 和 Cowork 已经在合并，ChatGPT 和 Codex 也在合并。对企业来说，"给开发者用的编码 agent" 和 "给非开发者用的企业 agent" 会变成同一个产品的两种模式。
最脆弱的位置是独立编码 Agent。 功能趋同太严重——Claude Code、Codex、Cursor 在核心能力上差距已经不大。大平台能通过模型+agent+企业入口的捆绑把独立厂商挤出去。SpaceX 以约 $600 亿收购 Cursor（TechCrunch 2026 年 6 月报道，本刊此前分析），即使 Cursor 有忠实用户群，最终还是被大平台吞并。
最有价值的位置是 Agent Gateway。 中立性和治理需求是结构性的，不会因为模型变强而消失。传统 API Gateway 厂商（Kong、Apigee）很可能通过收购进入这个品类，它们的客户群和销售渠道可以直接复用。
一个不能忽视的威胁：传统 API Gateway 巨头（Kong、Apigee/Google、AWS API Gateway）可能通过功能扩展或收购进入 Agent Gateway 市场。Nutanix 的先发优势在于理解 agent 行为模式，但如果 Kong 把 agent 流量管理加到现有产品线里，渠道优势是现成的。
反过来看，如果 LLM 能力持续提升，模型更少犯错、更少做出不可预测的工具调用，Agent Gateway 的存在理由是否会减弱？短期不会，因为 agent 部署量增长快于模型能力提升。但长期（3-5 年），Gateway 层可能被模型能力吸收一部分，就像 Web Application Firewall 没有消失但不再是独立品类。
五、风险：Agent 安全是下一个攻击面
Agent 安全不再是理论问题，已经是实践中的痛点了。
GitLab 2026 AI Accountability Report 给出了几个关键数字：91% 的组织使用 2 个以上 AI 编码工具，54% 使用 3 个以上（GitLab 2026 AI Accountability Report，2026 年 6 月发布）。这意味着企业内部已经有多个 agent 在同时访问代码库、API 和数据，而且很可能没有统一的治理框架。
Dark Reading 在 7 月 10 日的分析中提出了一个尖锐的判断：AI coding 的安全风险可能超过生产力收益。这个判断是否过早可以讨论，但底层逻辑成立：agent 自主调用工具 + MCP 攻击面扩大 = 传统的应用安全模型不够用了。
具体来说，安全风险来自三个方向：
第一，agent 的权限边界模糊。 Agent 代替人类执行操作，但它继承的权限通常是开发者的完整权限集。Amazon Q MCP 漏洞就是案例。如果 agent 能做开发者能做的一切事，那它访问恶意代码时的风险就等于开发者直接访问。
第二，MCP 攻击面。 MCP 让 agent 连接的外部系统变成攻击面。一个恶意的 MCP server 可以注入虚假数据、执行未授权操作、甚至通过 prompt injection 控制 agent 行为。而 MCP 的新规范把安全责任推给了开发者。开发者要自己确保 MCP client 的实现安全。
第三，循环失控。 Agent 的核心是 loop，感知、决策、行动、再感知。如果循环逻辑有 bug 或者被利用，agent 可能执行大量未预期操作。一个失控的 coding agent 可能修改数百个文件、删除重要分支、甚至向生产环境推送代码。
Agent Gateway 的存在理由就在这里：不能让 agent 直接碰生产系统。Gateway 是 agent 和生产系统之间的强制中间层，负责在每次循环中检查权限、控制预算、记录审计日志。
HealthTech 在 7 月 9 日的报道显示，医疗 IT 行业也在关注 vibe coding 的安全问题。医疗领域的特殊之处在于 HIPAA 合规：如果 agent 在处理患者数据时出问题，法律后果比其他行业严重。受监管行业对 agent 安全的关注说明这不是技术圈的自娱自乐，而是真实的商业风险。
六、判断
写到这里，把判断总结清楚。
工具链产品化是好事。 Loop engineering 在 6 月还是技术圈的概念框架，7 月就有了可购买的产品。门槛在降低。一个中型公司现在可以买到模型（API）、编码 agent（Claude Code 或 Codex）、企业 agent（Cowork 或 ChatGPT Work）、Agent Gateway（Nutanix 或 Arcade），用 MCP 协议连接一切。三个月前这需要自己拼装。
但产品化不等于商品化。 每一层的定价权和粘性差异巨大。模型层正在快速商品化（价格战、性能趋同），但 Agent Gateway 层因为中立性和治理需求会有高定价权。MCP 协议层本身不收费，但基于 MCP 的工具生态会产生订阅收入。
最有价值的层：Agent Gateway。 这个判断的核心是中立性需求：企业不会把所有 agent 流量交给一家厂商。传统 API Gateway 厂商（Kong、Apigee）和云厂商（AWS、Azure）很可能通过收购进入这个品类。Nutanix 已经先跑了，Arcade 已经上了 marketplace，先发优势在 B 端市场很重要。
最危险的是编码 Agent 层。 功能趋同 + 大平台捆绑 = 独立厂商的生存空间在收窄。SpaceX 以 $600 亿收购 Cursor（TechCrunch 2026 年 6 月报道）说明即使有忠实用户群，独立编码 agent 最终只是大平台的收购标的。Perplexity Teammate 走 model-agnostic 路线是一个聪明的差异化，但能不能跑出来还要看。
MCP 成为标准是确定性最高的趋势。 8 个月从私有协议到行业事实标准。社交平台（X）、金融数据（Morningstar）、酒店业（Simple Booking）都在接入。但 MCP 2026-07-28 规范的无状态化把安全责任推给开发者，Amazon Q 的 CVE 已经演示了风险。协议层标准化跑在安全实践前面，这个差距会在未来 6-12 个月内以安全事故的形式暴露。
12 个月内见分晓。 核心矛盾是 OpenAI 的垂直整合 vs 开放生态的水平分层。OpenAI 把所有东西合进一个超级 App 是最强用户体验策略。但企业不会把所有控制权交给一家厂商——中立性、互操作性、供应商多元化是企业 IT 采购的基本原则。
我的 bet 是后者。不是因为我偏好开放，而是因为企业市场的历史规律如此。云计算最终没有变成 AWS-only，移动最终没有变成 Apple-only，SaaS 最终没有变成 Salesforce-only。Agent 工具链大概率也不会变成 OpenAI-only。水平分层、多供应商共存、每层有 2-3 个头部玩家，这是企业市场的稳态。
当然，历史也有不同解读：Microsoft 在 PC 时代走了垂直整合路线并且赢了。OpenAI 正在尝试同样的策略。赌水平分层赢，本质上是赌企业客户对中立性和可移植性的需求大于对一体化体验的需求。
但这不意味着 OpenAI 输了。OpenAI 在垂直整合上做得越好，开放生态就必须做得更好才能竞争。这种张力对市场是正面的：竞争压低价格、加速创新、给用户更多选择。
Loop engineering 的六块积木已经变成市场。接下来看谁能把它们叠成一座稳固的建筑。
数据来源与声明： 本文基于公开信息撰写，综合参考了 TechCrunch、Reuters、Forbes、CNBC、Business Insider、Bloomberg 的新闻报道，Anthropic/OpenAI/Google/Nutanix 官方产品发布博客，MCP 协议规范文档（2026-07-28），GitLab 2026 AI Accountability Report，Addy Osmani「Loop Engineering」原文，以及各公司公开披露信息。不构成投资建议。文中数据截至 2026 年 7 月 11 日。